Zwei neue Phishing-Kits für Angriffe auf Microsoft 365 im Einsatz

Zwei neu entdeckte Phishing-Werkzeuge zielen auf Microsoft-365-Konten und umgehen dabei selbst die Multi-Faktor-Authentifizierung (MFA). Die beiden Kits namens "Jalisco" und "OmegaLord" setzen dabei auf ganz unterschiedliche Verfahren.

Gerätecodes hoch im Kurs

Das Toolkit Jalisco nutzt sogenanntes Device-Code-Phishing. Dabei machen sich die Täter einen legitimen Anmeldeprozess von Microsoft zunutze, der eigentlich für Geräte gedacht ist, die keine komfortable Eingabe von Benutzernamen und Passwort ermöglichen. Das geht aus einer Analyse des IT-Sicherheitsunternehmens ReliaQuest hervor.

Statt Zugangsdaten direkt zu stehlen, verleiten die Angreifer ihre Opfer per Social Engineering dazu, einen von Microsoft erzeugten Gerätecode auf einer echten Microsoft-Anmeldeseite einzugeben. Dadurch wird unbemerkt ein vom Angreifer kontrolliertes Gerät autorisiert. Anschließend kann dieses auf das Konto zugreifen, ohne dass Benutzername oder Passwort bekannt sein müssen.


Nach Angaben ReliaQuests erzeugt Jalisco die benötigten Gerätecodes in Echtzeit. Dadurch umgehen die Täter die zeitliche Begrenzung von 15 Minuten, die Microsoft für solche Codes eingeführt hat, um Missbrauch einzudämmen. Zudem verfüge das Toolkit über ein Verwaltungsportal, mit dem kompromittierte Konten und aktive Sitzungen überwacht werden können. In einzelnen Fällen registrierten die Angreifer bis zu fünf fremde Geräte innerhalb eines einzigen Kontos. Um keinen Verdacht zu erregen, trugen diese häufig unverfänglich wirkende Namen mit Begriffen wie "Microsoft" oder "Windows".

Nach erfolgreicher Übernahme eines Kontos durchsuchen die Täter laut den Forschern insbesondere SharePoint sowie weitere Cloud-Dienste nach wertvollen Informationen. Dazu zählen personenbezogene Daten von Kunden und Beschäftigten, Finanzunterlagen oder interne Kommunikation. Die Daten würden häufig innerhalb weniger Minuten kopiert und anschließend zur Erpressung der betroffenen Organisation genutzt.

Auch klassisches Phishing

Das zweite Toolkit, "OmegaLord", setzt dagegen auf eine klassische Phishing-Methode. Die Angreifer tarnen ihre Webseite als PDF-Reader-Anmeldung und versuchen dort, E-Mail-Adressen, Passwörter sowie die Telefonnummern der Opfer zu erbeuten. Gerade die gezielte Abfrage von Telefonnummern deutet laut ReliaQuest darauf hin, dass Cyberkriminelle verstärkt nach Wegen suchen, Schutzmechanismen der Multi-Faktor-Authentifizierung zu umgehen oder entsprechende Bestätigungscodes abzufangen.

Die Sicherheitsexperten empfehlen Unternehmen unter anderem, die maximale Zahl registrierbarer Geräte in Microsoft Entra ID deutlich zu reduzieren, die Device-Code-Authentifizierung über bedingte Zugriffsrichtlinien einzuschränken, den OAuth-Device-Authorization-Mechanismus gegebenenfalls zu blockieren und nicht benötigte App-Registrierungen regelmäßig zu überprüfen und zu entfernen.

Siehe auch: