Botnet umgeht gängige Sicherheitsmaßnahme:
Angriff auf Microsoft 365

Eine massive Botnet-Kampagne zielt auf Microsoft 365-Konten ab. Die Angreifer umgehen dabei gängige Si­cher­heits­maß­nah­men und stellen damit Unternehmen vor neue Her­aus­for­de­run­gen bei der Absicherung ihrer Cloud-Dienste.

Stille Gefahr für Microsoft 365-Konten?

Dieser neuartige Angriff auf Microsoft 365-Konten führt nun zu einer Warnung durch die Sicherheitsexperten von Security Scorecard.

Diese haben die umfangreiche Botnet-Infrastruktur entdeckt, die derzeit massive Passwort-Spraying-Attacken durchführt. Schutzmaßnahmen wie die Multi-Faktor-Authentifizierung (MFA) werden dabei umgangen, indem die Angreifer eine Anmelde-Methode verwenden, die von zahlreichen Sicherheitssystemen häufig übersehen wird, da sie gar nicht auf dem Radar der Security-Lösungen ist.


Bislang wurden schon über 130.000 kompromittierte Geräte entdeckt, die das Botnet bilden. Cyberkriminelle kombinieren dabei gestohlene Zugangsdaten mit der Ausnutzung veralteter Authentifizierungsmethoden.

Laut der detaillierten Analyse, welche Scorecard ausgeführt hat, nutzen die An­greifer ge­zielt Schwach­stellen der Basic Au­then­ti­cation, bei der Anmelde­daten im Klar­text über­tragen werden. Micro­soft ist im Übrigen schon dabei, die Basic Au­then­ti­cation schritt­weise ab­zu­schalten, da sie ein poten­ziell zu hohes Sicher­heits­risiko birgt.

Gefährliche Lücke in der Verteidigung

Das Perfide an dieser Methode: Herkömmliche Sicherheitsmaßnahmen greifen oft ins Leere. Multi-Faktor-Authentifizierung und Conditional Access Policies (CAP) werden bei nicht interaktiven Anmeldungen in der Regel nicht aktiviert. Damit öffnen sich Angreifern Hintertüren, durch die sie unauffällig in Unterneh­mens­netz­werke eindringen können.

Die Botnet-Betreiber agieren äußerst raffiniert. Sie nutzen gestohlene Zu­gangs­daten aus sogenannten Infostealer-Logs, um gezielt Konten anzugreifen. Um das Risiko entdeckt zu werden, verteilen sie ihre Anmelde­ver­suche auf tausende IP-Adressen und max­i­mieren so ihre Erfolgs­chancen, in­dem sie system­atisch ver­schiedene Konten ins Visier nehmen. Infografik Computerkriminalität: Wo Cyberattacken ihren Ursprung haben

Spuren nach China

Eine Analyse der Netzwerkdaten zeigt, dass die primären Command-and-Control-Server (C2) von SharkTech, einem US-amerikanischen Anbieter, gehostet werden. Der Datenverkehr wird jedoch über Anbieter in Hongkong und China geleitet, was Hinweise auf mögliche Verbindungen zu chinesischen Akteuren liefert. Das Botnet lässt sich bis mindestens Dezember 2024 zurückverfolgen.

Schutzmaßnahmen dringend erforderlich

Für Unternehmen ergeben sich aus dieser Bedrohung klare Hand­lungs­an­weis­ungen. An oberster Stelle steht die Deaktivierung der Basic Authentication für Microsoft 365-Dienste. Zudem sollten regel­mäßige Über­prüf­ungen auf kom­pro­mittierte Zugangs­daten un­er­läss­lich sein, um Folge­schäden zu ver­hindern.

Microsoft 365 umfasst eine Viel­zahl von cloudbasierten Diensten, darunter Out­look.com, One­Drive, Micro­soft Teams und die klass­ischen Office-Anwen­dungen (Word, Excel, PowerPoint), die millionen­fach zum Ein­satz kommen. Die Sicher­heit dieser Platt­form, die von Millionen Nutzern welt­weit ge­nutzt wird, hat daher oberste Priorität.

Was haltet ihr von dieser raffinierten Angriffsmethode? Seht ihr in euren Unternehmen ähnliche Herausforderungen bei der Absicherung von Cloud-Diensten? Teilt eure Erfahrungen und Gedanken in den Kommentaren - wir sind gespannt auf eure Einschätzungen!


Siehe auch: