LONDON (IT BOLTWISE) – Eine neue Ghost-Phishing-Welle verschleiert bösartige Inhalte so lange, bis die Seite im Browser entschlüsselt und im DOM sichtbar wird. Das macht klassische URL-Checks und Netzwerkregeln in der Praxis blind, obwohl der erste HTTP-Response für Prüfmechanismen „harmlos“ wirkt. In einer aktuellen Kampagne nutzt EvilTokens zudem Microsoft Device Code Phishing, um Opfer in einen legitimen Login-Flow zu lenken und dabei ungewollt Autorisierung für Microsoft 365 zu erteilen. Sicherheits-Teams müssen daher ihre Sichtbarkeit bis in den Browser erhöhen, bevor aus einem Einzelkonto ein Business-Vorfall mit umfangreichen Auswirkungen wird.
Ghost Phishing zwingt Sicherheitsverantwortliche zu einer ungemütlichen Neubewertung: Der Angriff ist oft schon im E-Mail-Postfach sichtbar, aber erst im Browser wirklich „da“. In der jüngsten Kampagne von EvilTokens werden Mitarbeiter laut Fallanalyse zunächst über einen Link zum Abschluss eines Microsoft-Login-Flows gebracht, der zunächst wie eine normale Authentifizierung wirkt. Entscheidend ist jedoch die zweite Phase: Die eigentliche Phishing-Logik bleibt verborgen, bis die verschlüsselte Seitennutzlast im Browser entschlüsselt und gerendert wird. Dadurch können automatisierte Prüfungen auf URL- oder Netzwerkebene ein falsches Sicherheitsgefühl erzeugen, während die kompromittierende Aktion im DOM stattfindet.
Technisch basiert das Setup auf einer Verschlüsselung der HTML-Inhalte mit AES-GCM: Die Antwort vom Server enthält damit nicht sofort den für Analysten sichtbaren Phishing-Content. Erst der Browser führt die Entschlüsselung durch und macht anschließend den Inhalt im Document Object Model (DOM) sichtbar. In der Praxis bedeutet das: Ein Security-Gateway oder ein URL-Detektor kann eine Response zulassen, obwohl die eigentliche Interaktionsfläche erst später entsteht. Für die Angriffsrealität ist das besonders relevant, weil moderne Phishing-Varianten nicht mehr zwingend Passwörter abgreifen müssen. Stattdessen reicht die unbemerkte Zustimmung im Rahmen eines Microsoft-Authentifizierungsprozesses, der den Zugriff auf Microsoft 365-Konten ausweitet.
Im konkreten Ablauf setzt EvilTokens auf Microsoft Device Code Phishing. Dabei wird den Opfern ein Login-Prozess präsentiert, der formal wie ein gültiges Microsoft-Authentifizierungsschema wirkt, während gleichzeitig die Autorisierung des Kontos ausgenutzt wird. Das reduziert die Abhängigkeit vom klassischen Credential-Diebstahl: Der Angreifer muss nicht zwingend ein Passwort direkt erheben, sondern kann die Kontoübernahme über OAuth-ähnliche Berechtigungsmechanismen und die vom Opfer ausgelöste Freigabe erreichen. Aus Sicht der Verteidigung entsteht ein Problem der Beweisführung: Wenn Kontrollpunkte nur die anfängliche Netzwerkkommunikation sehen, fehlt oft die Information, was der Mitarbeiter tatsächlich im Browser zu sehen bekam. Genau hier wächst das Risiko für verzögerte Entscheidungen im Security Operations Center.
Der Markt reagiert auf solche Lücken bislang auf unterschiedlichen Ebenen. Microsofts Sicherheitsökosystem mit Conditional Access, Defender-Komponenten und URL/Attachment-Scans adressiert viele Phishing-Szenarien, jedoch ist die Abdeckung dort naturgemäß durch den sichtbaren Datenstrom begrenzt. Mit anderen Worten: Während Content-Detektion auf der E-Mail- oder Gateway-Ebene häufig greift, verlagert Ghost Phishing die „kritische Wahrheit“ in die Browser-Interaktion. Branchenanalysten ordnen solche Entwicklungen typischerweise als Verschiebung von statischen Signaturen hin zu verhaltensbasierten Prüfungen ein, weil verschlüsselter Content die klassischen Heuristiken austunnelt. Besonders daten- und reichweitenkritische Branchen wie Consulting, Finanzdienstleister, Fertigung und Managed Security Provider geraten dabei stärker unter Druck, da ein einzelner Zugriff schnell in weitere Systeme ausrollt.
Für SOC-Teams ist die operative Konsequenz klar: Verlangt ein Vorfall nur „saubere Scans“, aber nicht die verifizierte Browser-Sicht, verlängert sich die Zeit bis zur Eindämmung. In Ghost-Phishing-Fällen können Alarme bei nachgelagerten Teams zudem unvollständige Belege liefern, was die Eskalations- und Prüfzyklen verlängert. Historisch ähnelt die Lage dem Übergang von reinem Mail-Gateway-Fokus hin zu Cloud- und Endpoint-Schutz: Früher reichten reputationsbasierte Filter, heute braucht es Kontext über die End-to-End-Kette. Der entscheidende Fortschritt ist daher die In-Browser-Untersuchung, bei der Security-Analysten die Entschlüsselung, die DOM-Änderungen und die nachgelagerten Requests (z. B. Fetch/XHR) gemeinsam betrachten können, statt nur die erste Antwort zu bewerten.
Konkrete Gegenmaßnahmen setzen an der „Visibility Gap“ an. Eine wirksame Strategie besteht darin, verdächtige Links in einer Sandbox zu öffnen, die nicht bei der URL stehen bleibt, sondern die browserseitige Dateninspektion nachzieht. In einer solchen Untersuchung lässt sich beobachten, wann der versteckte Content im DOM erscheint, welche Backend-Kommunikation den Device-Code-Flow antreibt und welche Endpoints und Indikatoren für die spätere Suche in Unternehmensumgebungen taugen. Zusätzlich kann ein automatisch generierter Bericht aus der Analyse Session die Übergabe vom Tier-1-Desk an Tier 2 beschleunigen, weil dabei Befunde, Indikatoren und Kontext gebündelt werden. Das reduziert manuelle Rekonstruktion und verbessert die Detektionsabdeckung, indem die Muster reproduzierbar werden – mit Blick auf die Zukunft wird dieser Ansatz bei Cloud-Auth-gestütztem Phishing noch wichtiger, weil die Angreifer ihren „sichtbaren“ Teil weiter minimieren.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Ghost Phishing: Warum verschlüsselte Webseiten URL-Checks umgehen und Microsoft 365 gefährden" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Ghost Phishing: Warum verschlüsselte Webseiten URL-Checks umgehen und Microsoft 365 gefährden" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Ghost Phishing: Warum verschlüsselte Webseiten URL-Checks umgehen und Microsoft 365 gefährden« bei Google Deutschland suchen, bei Bing oder Google News!