LONDON (IT BOLTWISE) – Angreifer nutzen eine neue Umgehungstechnik namens OAuth client ID spoofing, um gestohlene Microsoft-Entra-Anmeldedaten zu validieren, ohne dass ein erfolgreicher Login-Event entsteht. Dadurch entgehen klassische Sign-in-Telemetrie- und pro-Application-Erkennungen, die auf App-Namen und typische Login-Muster ausgelegt sind. Besonders kritisch: Die Angreifer können über differenzierte Fehlercodes sowohl Nutzeraccount-Existenz als auch Passwort-Treffer ableiten. Neue Kampagnen zeigen zudem, dass die Methode bereits in großem Stil und mit mehreren Millionen Versuchen operationalisiert wird.
Microsoft-Umgebungen geraten erneut unter Druck: Zwei voneinander unabhängige Angreifergruppen nutzen laut Proofpoint eine Umgehungstechnik, bei der sie OAuth-Client-IDs so manipulieren, dass Entra ID keine „erfolgreiche Anmeldung“-Signale erzeugt, die üblicherweise in der Verteidigung sichtbar würden. Das Ziel ist weniger das klassische „Passwort knacken“, sondern das Skalieren von Credential-Validierung. Der Clou liegt in einer Telemetrielücke: Entra liefert je nach Korrektheit des client_id-Werts unterschiedliche Fehlerantworten, wodurch sich aus den Reaktionen indirekt ableiten lässt, ob ein Nutzeraccount existiert und ob ein Passwort passt. Für Blue Teams heißt das: Nicht jeder Validierungsversuch hinterlässt einen klaren Login-Footprint.
Technisch basiert die Angriffssuite auf OAuth 2.0 und nutzt die client_id als weltweit eindeutigen Identifier für registrierte Anwendungen, der in Authentifizierungsanfragen als client_id übergeben wird. Statt eine echte, registrierte Anwendung zu verwenden, reicht der Angreifer einen syntaktisch plausiblen, aber nicht existierenden client_id-Wert ein. Durch die Verwendung des Resource Owner Password Credentials (ROPC)-Flows kann der Request so aufgebaut werden, dass Entra ID die Anfrage verarbeitet und mit einem AADSTS-Fehlercode antwortet, ohne einen Sign-in-Erfolg zu erzeugen. In vielen Logging-Sichten erscheint dann nur die Application-ID, aber nicht der zugehörige Anwendungsname.
Genau hier greift die Vermeidungsstrategie: Wenn ein Spoofing-Client-ID-Wert eine zu Entra gehörige Anwendung nicht eindeutig auflösen kann, bleibt in der Sign-in-Log-Telemetrie das Feld für den Application Name häufig leer. Viele Detektionsmechanismen sind jedoch auf „surges gegen eine bestimmte Anwendung“ oder auf konsistente App-Metadaten ausgelegt, weil das im Alltag die Analyse vereinfacht. Proofpoint beschreibt zudem, dass selbst bestimmte Formfehler nicht zwangsläufig abgewiesen werden: Wenn der spoofed client ID nicht korrekt als UUIDv4 vorliegt, rejectet Entra nicht immer sofort, sondern liefert weiterhin verwertbare Fehlerdetails. Das erlaubt Angreifern, mit nur HTTP-Antworten zu arbeiten, statt auf sichtbare Authentifizierungs-Events zu warten.
Im Marktkontext wirkt die Entwicklung wie eine logische Fortsetzung vergangener Enumerations- und Password-Spraying-Strategien, die auf Benutzername- und Authentifizierungsfeedback beruhen. Proofpoint verweist dabei auf zuvor beobachtete Threat-Cluster wie UNK_CustomCloak, die per User-Agent-Spoofing und über eine legacy, nicht mehr unterstützte First-Party-Integration namens Windows Live Custom Domains mehrere tausend Tenants ins Visier nahmen. Die neueste Variante geht jedoch näher an den Kern der OAuth-Validierung: UNK_pyreq2323 und UNK_OutFlareAZ nutzen gezielt OAuth client_id-Spoofing über HTTP POST zum Token-Endpunkt, statt nur UI- oder Routing-Schichten auszutricksen. Im Vergleich zu Identitätsplattformen wie Okta zeigt sich ein breiteres Muster: Sobald Fehlercodes und Metadaten konsistent auswertbar bleiben, entsteht ein messbares Rückkopplungssystem.
Die belegten Größenordnungen machen deutlich, dass es nicht bei Experimenten bleibt. Für UNK_pyreq2323 (Jan bis Mär 2026) nennt Proofpoint mehr als 700.000 spoofed client IDs aus AWS-Infrastruktur, mit dem Ziel, über 1 Million Konten in nahezu 4.000 Tenants zu testen; etwa 28% der angegriffenen Nutzer erlitten Lockouts durch fehlgeschlagene Versuche. UNK_OutFlareAZ startet bereits ab Dezember 2025 und soll Cloudflare-Infrastruktur eingesetzt haben: Ziel waren über 2 Millionen Nutzer, bei 3,7 Millionen randomisierten „fictional“ application IDs. Beide Kampagnen verwenden laut Bericht gültige UUIDs, unterscheiden sich aber im Detail: UNK_OutFlareAZ enumeriert Nutzer alphabetisch, UNK_pyreq2323 nicht, und die Spoofing-Logik reicht von modifizierten Endziffern bis zu pro Request generierten IDs.
Aus Verteidigersicht ist vor allem die Korrelation der Versuche knifflig. Proofpoint beschreibt, dass das Aufsplitten von Authentifizierungsversuchen über viele „fiktive“ Anwendungen die Nachverfolgung erschwert und damit per-Application-Detections sowie Rate-Limits umgehen kann. In der Praxis bedeutet das: Wenn Entra- und SIEM-Workflows die App-Identität als primäres Clustering-Kriterium nutzen, wird das Angriffsprofil teilweise unsichtbar, weil der App-Name leer bleibt oder nur die ID ohne Kontext auftaucht. Eine wichtige Ergänzung gegenüber klassischen Enumeration-Ansätzen besteht also darin, Sign-in-Logs stärker nach Eingabemerkmalen und Fehlerkodierung zu analysieren, nicht nur nach „App beteiligt“.
Als Gegenmaßnahme nennt Proofpoint zwar Conditional-Access-Policies als Hebel, aber mit einer klaren Einschränkung: CA-Policies, die auf Anwendungen gescoped sind, greifen nicht zuverlässig gegen spoofed client IDs, weil die Anfrage nicht die erwartete, registrierte App triggert. Daraus folgt für Unternehmen ein realistischer Architektur-Check: Conditional Access sollte zusätzlich auf übergreifende Signale wie Client-App-Unstimmigkeiten, ungewöhnliche Token-Endpoint-Aktivität, auffällige Fehlercode-Muster (z. B. wiederkehrende AADSTS-Fehler in kurzen Zeitfenstern) und anomal hohe Raten pro Nutzer und IP-Sequenz reagieren. Auch Rollen- und Privileged-Access-Strategien wie striktere MFA- und Token-Usage-Controls können helfen, die Auswirkungen validierter Credentials zu begrenzen, selbst wenn Enumeration gelingt.
Für die Zukunft ist die Erwartungsspur klar: Wenn Identitätsanbieter Telemetrie-Metadaten so gestalten, dass App-Ableitungen weniger informationsreich sind, sinkt der Nutzen solcher Fehlercode-basierten Checks. Gleichzeitig werden Angreifer versuchen, verbleibende Informationskanäle weiter auszunutzen, etwa über Unterschiede in Fehlerantworten, Timing oder Konsistenz einzelner Logfelder. Regulatorisch und datenschutzseitig wird das relevanter, weil solche Attacken oft Massendaten über Benutzerkonten berühren und in vielen Fällen personenbezogene Zuordnung indirekt möglich machen können. IT-Security- und Compliance-Teams sollten daher neben technischer Detektion auch Prozesse zur Incident-Erkennung, Logging-Retention und Zugriffsbeschränkung auf Authentifizierungsdaten nach internen Richtlinien und geltendem Recht prüfen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "OAuth-Client-ID-Spoofing: Neue Lücke in Microsoft Entra Telemetrie für Credential Checks" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "OAuth-Client-ID-Spoofing: Neue Lücke in Microsoft Entra Telemetrie für Credential Checks" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »OAuth-Client-ID-Spoofing: Neue Lücke in Microsoft Entra Telemetrie für Credential Checks« bei Google Deutschland suchen, bei Bing oder Google News!