BUDAPEST / LONDON (IT BOLTWISE) – Ein falsch konfigurierter Webserver hat eine Live-Phishing-Operation offengelegt: Verzeichnislisten zeigten Konfigurationen, Token-Logs und sogar RMM-Komponenten. Aus diesem einen Serverfehler leitete die Analyse nicht nur eine, sondern drei Kampagnen ab – basierend auf angepassten Evilginx-Proxies. Besonders kritisch: Zwei Varianten umgehen Absicherung auf unterschiedliche Weise, während eine dritte den Microsoft OAuth Device Code Flow missbraucht und trotzdem echte MFA-Prompts durchlaufen lässt. Für Microsoft-365-Administratoren entscheidet jetzt weniger das Passkey-Thema als Conditional-Access-Design gegen tokenbasierte Session-Ausnutzung.
Ein übersehener Devops-Fehler entpuppt sich im Sicherheitskontext oft als größtes Leck: Verzeichnislisten (directory listing) auf einem öffentlich erreichbaren Python-Webserver machten die Werkzeuge einer Live-Phishing-Operation lesbar. Konkret lief der Server mit „python3 -m http.server 8080“, und die Shell-Historie war als.bash_history auffindbar. Eine französische Sicherheitsfirma hat daraus nicht nur den Evilginx-ähnlichen Proxy-Ansatz rekonstruiert, sondern den kompletten Werkzeugkasten und daraus zwei weitere Operatoren abgeleitet. Ergebnis: drei Kampagnen, die sämtlich Microsoft-365-Identitäten im Fokus hatten – mit teils über ein Jahr laufenden Kampagnenfenstern und hoher Zielorientierung auf Unternehmenspostfächer.
Technisch interessant ist weniger „Evilginx“ als solche, sondern wie stark sich die Teams das gleiche Grundmuster unterschiedlich zu Nutze machen. Alle drei Akteure setzten auf benutzerdefinierte Forks eines öffentlichen Evilginx-Proxys, ergänzt durch weitere Komponenten für Persistenz und Bedienung. In dem entdeckten Host liefen hinter dem Proxy auch ein Remote-Console-System (SimpleHelp) und zusätzliche Artefakte, die in der Verzeichnisliste auftauchten: Phishing-Konfigurationen, Logs zum Sammeln von Credentials, Installationspakete für Fernwartung sowie Kombolisten und Backup-Archive. Dazu kamen sogar Telegram-Session-Dateien, was für CTI-Teams die Zuordnung und die zeitliche Rekonstruktion deutlich beschleunigte.
Marktseitig fügt sich das Bild in eine breitere Phishing-as-a-Service-Dynamik ein, in der einzelne Frameworks über öffentliche Repositories zirkulieren und anschließend „glue code“ für konkrete Ziele ergänzt wird. Der Bericht ordnet die Aktivitäten lose einem größeren Ökosystem zu, das als „The Quarry“ beschrieben wird und von einem Entwickler an viele Betreiber verkauft worden sein soll. Besonders relevant: Nicht jede einzelne Kampagne muss Mitglied dieses Ökosystems sein, denn die Kits lagen öffentlich in GitHub-Varianten, die ohnehin leicht nachnutzbar sind. Damit wird der Wettbewerb nicht nur zwischen Angreifern, sondern auch zwischen Verteidigern: Wer heute nur gegen eine Evilginx-Variante absichert, öffnet unter Umständen die nächste Tür – zeitlich und technisch.
Ein klarer „Wettbewerber“ im Sinne der Verteidigung ist dabei Microsoft selbst, weil es die Missbrauchsmuster dokumentiert hat und eine Gegenmaßnahme-Perspektive liefert. Die drei Operationen werden im Detail an zwei unterschiedlichen MFA-Realities getestet: Bei einer Methode wird der Live-Login per Proxy abgefangen, bei einer zweiten Variante wird ein legitimer Microsoft-Sign-in Flow missbraucht. Besonders heikel ist die dritte Fork, „black-queen“, weil sie den OAuth Device Code Flow als Einstieg nutzt. Das Setup generiert einen echten Device-Code, baut eine Authenticator-ähnliche Köderseite und führt den Nutzer auf eine echte Microsoft-Login-Seite; der User erfüllt die MFA-Prompt am richtigen Ort, während der Angreifer parallel den Token über das Backend abholt. Das ist kein „Bypass“ im strengen Sinn – aber es verschiebt den Sicherheitsbegriff: Die MFA wurde erfüllt, der Token landet trotzdem im falschen Session-Kontext.
Aus Historie und bisherigen Verteidigungsansätzen folgt hier ein wichtiger Lernpunkt: Reverse-Proxy-Phishing wurde schon mehrfach als wiederkehrendes Pattern beschrieben, aber viele Organisationen haben vor allem auf „phishingresistente MFA“ und FIDO2/Passkeys gesetzt. Solche Mechanismen können jedoch auf das falsche Risiko fokussieren, wenn die eigentliche Schwachstelle die Tokenlebensdauer und die Session-Aktualisierung in Conditional Access ist. Der Bericht betont genau diesen Unterschied: Phishing-resistente MFA bindet zwar den Sign-in an die echte Domain und reduziert damit die Proxy-Variante, schließt aber Device-Code-Abuse nicht automatisch aus. Damit braucht es eine Conditional-Access-Strategie, die nicht nur den ersten Login betrachtet, sondern auch Continuous Access Evaluation und Token-Refresh-Ereignisse gegen erlaubte IP- und Standortbereiche überprüft.
Für die Praxis liefert der Bericht konkrete Hinweise, die sich ohne „Security Theatre“ umsetzen lassen. Microsoft empfiehlt, den Device Code Flow möglichst zu blocken, außer für echte Ausnahmen wie input-beschränkte Geräte (etwa Teams room Hardware) oder bestimmte Command-Line-Workflows. Danach ist es entscheidend, ein sinnvolles Entra-Setup aufzusetzen: Georegelte IP-Conditional-Access und eine Token-Neubewertung für unterstützte Workloads, damit ein gestohlener Token nicht seine Laufzeit „durchschmuggelt“. Auf der Detektionsseite nennt der Bericht Indikatoren in Entra-Sign-in-Logs, zum Beispiel Refresh-Token-Grants über die Office-Client-ID d3590ed6-52b3-4102-aeff-aad2292ab01c, die auffällig sind, wenn Desktop-Clients nicht im normalen Betrieb vorkommen. Zusätzlich sollte die Suche den „Original transfer method“-Kontext berücksichtigen, weil das Device-Code-Taging auch in späteren Refresh-Ereignissen bestehen bleiben kann.
Ein zweites, ebenfalls praxistaugliches Feld ist Endpoint-Härtung gegen Persistenz, weil die Kits in dem Fall nicht nur „Login stehlen“, sondern auch Remotesupport-Fähigkeiten und RMM-Komponenten nachladen. Im Material taucht für den Betreiber codemado ein XEOX-Agent auf, inklusive einer konkreten Dateipfad-Referenz und passenden Scheduled-Task-Mustern. Das ist als Suchstartpunkt nützlich, aber nicht als alleinige Gegenmaßnahme zu verstehen, weil die Infrastruktur rotieren kann. Wichtig ist die Architekturübertragung: Wenn ein Angreifer mehrere Pfade in die gleiche Session-Kette findet, reicht kein einzelner Fix. Die Kombination aus Conditional Access gegen Token-Refresh, Detektion über sign-in Logs und Endpoint-Containment gegen Persistenz senkt die Überlebenszeit deutlich – und verhindert, dass ein einzelner Operator-Fehler wie eine öffentliche Verzeichnisliste zum „Lehrvideo“ für Nachahmer wird.
Für die Zukunft lässt sich aus dem Bericht eine klare Implikation ableiten: Die Barriere für funktionierende Kampagnen sinkt, weil Frameworks, Forks und Teile des Phishing-Frontends öffentlich verfügbar sind und nur noch „glue code“ sowie Köderlogik angepasst werden müssen. Der Bericht sieht über mehrere Operationen Anzeichen von KI-gestützter Entwicklung – häufig weniger im Kernframework, dafür in den Skripten und Phishlets, die den Zielablauf maßgeblich formen. Dazu kommt, dass die beobachteten Kampagnen tokenbasierte Sessions teils sehr lange am Leben hielten, indem sie Token-Refresh-Zyklen ausnutzten. Wer jetzt handelt, sollte daher Prioritäten setzen: Device-Code-Politiken sauber begrenzen, Continuous Access Evaluation aktivieren, sign-in Artefakte gezielt auswerten und die M365-Workloads im Report-only Modus testen, bevor die Regeln produktiv verschärft werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Fehlkonfigurierter Server entlarvt drei Evilginx-M365-Phishingkampagnen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Fehlkonfigurierter Server entlarvt drei Evilginx-M365-Phishingkampagnen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Fehlkonfigurierter Server entlarvt drei Evilginx-M365-Phishingkampagnen« bei Google Deutschland suchen, bei Bing oder Google News!