Hacker greifen Microsoft-Clouds von mindestens 27 Organisationen an

Eine laufende Hacking-Kampagne nutzt gestohlene Zugangsdaten für Microsoft Entra ID und Azure DevOps, um in Cloud-Umgebungen von Unternehmen und Behörden einzudringen. Mindestens 27 Organisationen sind bereits betroffen.

Geklaute Zugangsdaten

Die Sicherheitsfirma Todyl untersucht seit einigen Tagen die laufenden Aktivitäten der Angreifer. Im Fokus der Angreifer stehen nach derzeitigen Erkenntnissen insbesondere Managed Service Provider (MSPs), über deren Zugänge die Angreifer auch auf Kundensysteme zugreifen können.

Laut der Todyl-Analyse richtete sich die Kampagne gegen rund 45 Anwendungen in etwa 18 Organisationen. Mehr als 33 dieser Anwendungen authentifizierten sich erfolgreich. Über verbundene Kundenumgebungen weitete sich der Zugriff auf Einrichtungen aus den Bereichen Verwaltung, Energieversorgung, Landwirtschaft, Transport, Bauwesen, Bildung und Rechtswesen sowie auf gemeinnützige Organisationen aus. Die tatsächliche Zahl der Opfer könnte höher liegen, da Todyl nur einen Teil der betroffenen Cloud-Umgebungen überwacht.


Die Angreifer nutzen gültige Zugangsdaten für Service Principals und Anwendungsidentitäten. Diese können ohne interaktive Anmeldung eines Nutzers auf Cloud-Ressourcen zugreifen. Dadurch greifen auch viele Schutzmechanismen nicht, die für reguläre Benutzerkonten vorgesehen sind. Insbesondere eine Multifaktor-Authentifizierung wird bei solchen Anmeldungen nicht zwangsläufig verlangt.

Microsoft selbst ist nach bisherigen Erkenntnissen nicht für eine Sicherheitslücke verantwortlich. Vielmehr missbrauchen die Angreifer legitime Berechtigungen und gestohlene Geheimnisse. Wie sie ursprünglich an die Zugangsdaten gelangten, ist unklar. Hinweise auf eine Kompromittierung der Plattform eines Sicherheitsdienstleisters hat Todyl bislang nicht gefunden.

Größer, als es klingt

Die Sicherheitsforscher registrierten Suchaktivitäten bei rund 25 Microsoft-365-Mandanten, den Download von 81 Dateien und den Zugriff auf 2279 Postfachinhalte. Unter den erbeuteten Dokumenten befanden sich Passwortlisten, private Schlüssel, VPN-Konfigurationen und Zugangsdaten für Backups und Fernzugriffe. Diese Informationen könnten weitere Angriffe außerhalb der Microsoft-Cloud ermöglichen.

Besonders problematisch sind Verbindungen zwischen Dienstleistern und ihren Kunden. Eine mandantenübergreifende Anwendung ermöglichte den Zugriff auf 15 Kundenumgebungen. Die Angreifer automatisierten ihre Aktivitäten weitgehend, wobei längere Pausen und wechselnde Browser-Kennungen auf eine menschliche Steuerung hindeuten.

Todyl empfiehlt Unternehmen, Anwendungsanmeldungen und nicht interaktive Benutzerzugriffe zu untersuchen. Als bestätigte Quelladresse nennt das Unternehmen die 199.19.77.84. Betroffene Anwendungen sollten deaktiviert, kompromittierte Zugangsdaten ersetzt und Sitzungen widerrufen werden. MSPs müssen zudem Kundenberechtigungen überprüfen und betroffene Kunden informieren.

Siehe auch: