LONDON (IT BOLTWISE) – Kali365 nutzt einen Microsoft-Login als Zwischenstation, um nach bestätigter Authentifizierung Tokens für Microsoft 365 zu erlangen. Das Phishing-Setup setzt auf attacker-kontrollierte Device-Codes, die Opfer auf einer echten Microsoft-Authentifizierungsseite freigeben. Laut aufgezeichneten Telemetriedaten richtet sich die Kampagne besonders stark an US-Organisationen. Für Sicherheits-Teams wird vor allem die schnelle Validierung verdächtiger Lures und Redirects zum Dreh- und Angelpunkt.
Kali365 zeigt, wie schmal der Grat zwischen legitimer Cloud-Identität und echter Kompromittierung werden kann. Im Kern handelt es sich um ein Device-Code-Phishing, das Microsofts eigenen Authentifizierungsmechanismus missbraucht: Opfer landen zunächst auf einer Seite, die einen vertrauten Unternehmensdienst imitiert, und werden dann über Weiterleitungen zu einem legitimen Device-Login bei Microsoft geführt. Der entscheidende Effekt tritt erst im Anschluss auf, weil nach erfolgreichem Login typischerweise Zugriffstokens sowie Refresh-Tokens ausgegeben werden. Diese Token können Angreifern über die unmittelbare Sitzung hinaus Zugriff auf E-Mail, Dokumente und Cloud-Ressourcen geben – und damit auf genau die Daten, die viele Unternehmen über Jahre in Microsoft 365 konsolidiert haben.
Die Recherche ordnet Kali365 als kitbasierte Kampagne ein, deren Infrastruktur nicht statisch bleibt. Laut den genannten Telemetriedaten werden jede Woche mehr als 80 öffentliche Sitzungen mit Bezug zur Kampagne beobachtet; als wichtigste geografische Zielregion ragen die USA heraus. In einer der beschriebenen Sandbox-Sitzungen wird außerdem ein SharePoint-orientierter Köder verwendet, um den Einstieg in den Authentifizierungsfluss zu triggern. Damit verschiebt sich das Risikobild weg von klassischen E-Mail-Indikatoren wie auffälligen Absendern: Selbst wenn die Nutzeroberfläche zunächst wie ein normaler Login wirkt, kann der Schaden später genau dann einsetzen, wenn das Opfer den Device-Code auf einer realen Microsoft-Seite freigibt.
Angreifer folgen dabei einer klar beschriebenen Dreistufen-Chain: Zuerst wird der Nutzer über eine täuschend echte Landing-Page in einen Formular- oder Zustimmungsprozess gezogen, der etwa SharePoint, OneDrive oder auch einen DocuSign-ähnlichen Service nachahmt. Danach leitet das Setup zum Microsoft-Geräte-Login-Portal um und fordert den Nutzer auf, einen attacker-provided Code einzugeben bzw. zu bestätigen. Erst nach dieser Bestätigung kommt die kritische Phase: Wenn der Nutzer authentifiziert, können Angreifer OAuth-Zugriff und Refresh-Tokens erhalten, die fortgesetzten Zugriff ermöglichen. Praktisch bedeutet das für SOCs, dass ein einzelnes „Freigeben“ auf einer legitimen Seite als harmlos wirken kann, obwohl die eigentliche Manipulation bereits vor der Microsoft-Interaktion stattgefunden hat.
Für die Verteidigung ist daraus eine harte Priorität ableitbar: Phishing darf nicht nur als Text-/Link-Problem betrachtet werden, sondern als Identitäts- und Token-Risiko. Der Artikel betont, dass sich Kali365 nicht durch E-Mail-Filter allein entschärfen lässt. Stattdessen brauchen Teams eine Verknüpfung aus aktuellen Kampagnenindikatoren, schnellen Validierungswegen und vor allem einem Verständnis dafür, welche Signale früher in der Attack-Chain liegen. Dabei wird auch betont, dass Indicators aus einem bestätigten Fall schnell veralten können, weil Betreiber Domänen, URLs und Hosting-Infrastruktur rotieren; genau daraus entsteht die Notwendigkeit, IOCs in Systeme wie SIEM, SOAR, TIP und Firewalls einzuspeisen, um Abfragen und Blockentscheidungen retrospektiv sowie in Echtzeit zu unterstützen.
Technisch lässt sich die Forderung nach „schneller Beweissicherung“ als Angriff auf die typische Reaktionsverzögerung im SOC lesen. Wenn der Loginfluss zunächst als normal erscheint, müssen Warnzeichen früher sichtbar werden – in Köderseiten, Redirect-Ketten, Browser-Verhalten und in den Skripten sowie der attacker-kontrollierten Infrastruktur. Hier setzt das beschrieben Vorgehen aus Sandbox-Interaktion und automatisierter Analyse an: So soll die gesamte Phishing-Chain schneller nachvollzogen werden, von der ersten Köderlogik bis hin zur Transition in den Microsoft-Authentifizierungsbereich. Die Folge für Tier-1-Teams ist, dass Reports mit AI-gestützten Zusammenfassungen, Empfehlungen und gebündelten Evidenzen den Handoff beschleunigen sollen, inklusive klarer IOCs, TTPs und Verhaltensnachweise, bevor Tokenmissbrauch sich weiter in E-Mail- und Dokumentenzugriffe ausweitet.
Auf der operativen Ebene wird außerdem betont, dass ein einzelner Alarm nicht genügt, um die Reichweite einer Kampagne zu verstehen. Deshalb wird ein Ansatz vorgeschlagen, der Kampagnendaten gezielt durchsucht, etwa mit einer Abfrage nach „kali365“ und einem Submission-Country von „US“, um zusammenhängende Infrastruktur, relevante Sandbox-Sessions sowie Screenshot-Material und Targeting-Muster zu finden. Ergänzend werden Threat-Intelligence-Reports als manuell kuratierte Layer genannt, die aktive Malware- und Phishing-Kampagnen einschließlich APT- und Cybercrime-Kontext abdecken sollen. Das Ziel ist nicht nur Detektion, sondern Vorbereitung: SOCs sollen erkennbare Muster früher sehen und ihre Detection-Reihenfolge so anpassen, dass ein Device-Code-Phishing nicht erst dann als Incident verstanden wird, wenn bereits Tokens ausgestellt wurden.
Die wirtschaftliche Seite des Risikos wird im Artikel stark über Szenarien erklärt: Ein einmal genehmigter Device-Code kann sich zu einer breiteren Microsoft-365-Komprimittierung ausweiten, die von finanziellen Manipulationen bis zu Datenabflüssen reicht. Besonders relevant ist dabei, dass die Attacke zunächst wie Routine wirken kann, weil die finale Authentifizierungsbestätigung auf einer legitimen Microsoft-Seite erfolgt. Damit verschiebt sich der Schutzschwerpunkt auf Token-Missbrauchs-Prevention und Incident-Response-Zeit: Je früher ein Team den Ursprung der Identitätsumleitung und die Token-Ausgabe nachverfolgt, desto kleiner bleibt das Zeitfenster, in dem E-Mail-, Datei- und Cloud-Berechtigungen in betrieblichen Kontexten Schaden anrichten können.
In diesem Zusammenhang ist auch das Messaging an CISOs und Security-Leiter zu verstehen: Das Problem sitzt an der Stelle, die viele Organisationen als „trusted by default“ betrachten – Cloud-Authentifizierung. Laut den genannten Anwenderangaben sollen beschleunigte Triagen, eine geringere MTTR und weniger Tier-1-zu-Tier-2-Eskalationen genau diese Token- und Prozesslücke schließen. Für die Praxis heißt das: Neben Identitäts-Policies und Awareness braucht es Kampagnenintelligenz, die mit rotierten IOCs Schritt hält, plus Beweisketten, die Tier-1 frühzeitig in die Lage versetzen, verdächtige Redirects und Ködermanipulationen als echte Identitätsattacke zu behandeln. So wird aus einem scheinbar „normalen“ Login eine kontrollierbare Sicherheitsentscheidung, bevor E-Mail- und Dokumentenzugriffe zum Geschäftsrisiko werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Device-Code-Phishing: Kali365 missbraucht Microsoft-Authentifizierung für Angriffe auf US-Firmen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Device-Code-Phishing: Kali365 missbraucht Microsoft-Authentifizierung für Angriffe auf US-Firmen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Device-Code-Phishing: Kali365 missbraucht Microsoft-Authentifizierung für Angriffe auf US-Firmen« bei Google Deutschland suchen, bei Bing oder Google News!