LONDON (IT BOLTWISE) – Sicherheitsforscher beschreiben koordinierte Phishing-Kampagnen, die gezielt Microsoft-365-Nutzer angreifen. Im Zentrum steht der Phishing-as-a-Service-Anbieter Greatness PhaaS, der seit Mitte 2022 im Betrieb sein soll. Die Täter kombinieren AiTM-Proxying mit dem Device-Code-Flow und setzen dabei gestohlene Authentifizierungs-Token wieder ein. Zusätzlich missbrauchen sie RingCentral-Identitäten, um Mail-Filter wie SPF, DKIM und DMARC auszutricksen und Konten teils über mehr als zwei Wochen zu kompromittieren.
Die aktuelle Bedrohungslage wirkt auf den ersten Blick nach dem bekannten Muster „gefälschte Login-Seite“, ist aber in der Ausführung deutlich stärker. Laut Sicherheitsanalysen richten sich neue, koordinierte Phishing-Kampagnen gegen Nutzer von Microsoft 365. Auffällig ist vor allem die Kombination mehrerer Techniken aus dem Arsenal moderner Authentifizierungsangriffe: Die Angreifer arbeiten nicht nur mit klassischen Umleitungen auf manipulierte Formulare, sondern zielen auf Token und OAuth-Berechtigungen, also genau auf die Mechanismen, die in vielen Unternehmen als stabiler Zugangsschutz gelten. Das erhöht den Impact, weil ein einmal erlangter Zugriff nicht automatisch sofort auffällt, wenn die Benutzerinitialen zwar „richtig“ wirken, die Session jedoch fremdgesteuert ist.
Hinter den beobachteten Angriffen steht nach den vorliegenden Erkenntnissen die Plattform „Greatness PhaaS“. Dabei handelt es sich um einen Phishing-as-a-Service-Ansatz, der Kriminellen Infrastruktur für komplexe Kampagnen bereitstellt. Der Zugang erfolgt laut den Angaben über einen Telegram-Kanal, der mit 289 US-Dollar pro Monat bepreist sein soll und mittlerweile über 3.250 Abonnenten verzeichnet. Diese Art von „Abomodell“ senkt die Einstiegshürde: Betreiber müssen nicht alles von Grund auf entwickeln, sondern können bestehende Toolchains nutzen und sich auf das Ausspielen der Kampagnen konzentrieren. Für IT-Teams bedeutet das zugleich, dass es weniger um einzelne Taktiken geht, sondern um ein wiederverwendbares Angriffspaket, das sich schnell auf neue Zielsysteme und Identitäten anpassen kann.
Technisch setzen die Angreifer auf AiTM- (Adversary-in-the-Middle) Methoden und auf Device-Code-Phishing. Bei AiTM wird der Datenverkehr zwischen Nutzer und legitimer Authentifizierungsstrecke so „vermittelt“, dass der Angreifer verwertbare Informationen abgreifen kann, ohne dass das Opfer zwangsläufig eine offensichtliche Betrugsmaske bemerkt. Ergänzend kommt der Device-Code-Flow ins Spiel, ein Prozess, der häufig für Login-Vorgänge auf Geräten mit eingeschränkter Eingabe gedacht ist. Kritisch wird das Szenario, wenn Angreifer den Dialog so nachbauen, dass der Nutzer eine normale Authentifizierung annimmt, während die Gegenseite die Gelegenheit nutzt, Authentifizierungs-Token mitzuschneiden. Die gestohlenen Token werden anschließend über eine Infrastruktur aus virtuellen Servern oder VPN-Diensten wiederverwendet, wodurch sich Zugriffe auf Outlook, Microsoft Teams, SharePoint und OneDrive ergeben. Laut Analysen kann dieser unbefugte Zugriff häufig länger als zwei Wochen andauern.
Ein weiterer Baustein der Kampagne ist der Missbrauch legitimer Identitäten: In diesem Fall geht es um RingCentral. Die Angreifer sollen einen Sicherheitsvorfall im Zeitraum nach dem 28. Juli ausgenutzt haben, um gefälschte E-Mails zu verschicken, die Voicemail-Benachrichtigungen von RingCentral imitieren. Entscheidend ist dabei nicht nur das „Look-and-Feel“, sondern die Umgehung technischer Prüfmechanismen wie SPF, DKIM und DMARC. Den vorliegenden Beschreibungen zufolge profitieren die gespooften Mails häufig von Ausnahmeregelungen in Safe-Sender-Listen, also Whitelists, die in vielen Unternehmen aus betrieblichen Gründen existieren. Genau hier entsteht ein Gegenargument gegen den alleinigen Fokus auf Mail-Authentifizierungsheader: Wenn Whitelist-Ausnahmen greifen, können selbst sauber formatierte Authentifizierungsfehler in der Praxis wirkungslos bleiben.
Auch die Zielauswahl zeigt, dass es den Angreifern um breit einsetzbare Kontoabnahmen geht. Neben Microsoft-Services wurden Versuche beobachtet, Konten bei iCloud, Yahoo und Google Workspace zu treffen. Das Muster passt zu einem „Credential-and-Session“-Ansatz: Wenn Token oder OAuth-Consents kompromittiert sind, ist der Weg zu mehreren Plattformen kurz, weil sich die grundlegenden Konzepte von Autorisierung und Delegation ähneln. Für die Verteidigung heißt das: Blockieren einzelner Domains oder das reine Nachpflegen von Mailregeln greift oft zu kurz. Stattdessen sollten Administratoren prüfen, ob es Anomalien bei OAuth-Berechtigungen (Consents) gibt, und unplausible Einträge konsequent widerrufen. Ebenso rückt das regelmäßige Bereinigen von Safe-Sender-Listen in den Mittelpunkt, weil genau diese Ausnahmen die Filterwirkung aushebeln können.
Praktisch sollten Unternehmen außerdem die Rolle des Device-Code-Flow neu bewerten. Die Empfehlungen in den vorliegenden Analysen zielen darauf, den Device-Code-Flow zu blockieren, sofern er für den Geschäftsbetrieb nicht zwingend gebraucht wird. Zusätzlich wird Multi-Faktor-Authentifizierung (MFA) als Schutzbaustein genannt, und zwar explizit mit Blick auf Phishing-Szenarien: Besonders gegen AiTM-Proxying ist nicht jede MFA-Variante gleich gut, daher lohnt sich die Überprüfung der eingesetzten MFA-Mechanismen (etwa gegen Session-Relay-Modelle). Ergänzend ist es sinnvoll, Zugriffsereignisse und Token-Nutzung genauer zu überwachen, statt ausschließlich auf Login-Warnungen zu reagieren. Wenn das Angriffskonzept auf Token-Wiederverwendung setzt, kann ein einzelner „erfolgreicher Login“ weniger aussagekräftig sein als die Folgeaktivitäten in Files, Chats und Collaboration-Umgebungen.
In Summe zeigt die Kampagne, wie stark sich Phishing von einer rein mailgetriebenen Masche hin zu einer „Account-Takeover“-Maschine weiterentwickelt hat. Der Umstand, dass ein Service wie Greatness PhaaS wiederkehrend für komplexe Abläufe eingesetzt wird, verschiebt Prioritäten in vielen IT-Abteilungen: Es geht weniger um einzelne Filterregeln und mehr um die Kombination aus Identitäts- und Autorisierungs-Härtung. Dazu gehört die konsequente Kontrolle von OAuth-Consents, die Reduktion unnötiger Whitelist-Ausnahmen sowie eine realistische Absicherung gegen Token-Diebstahl. Gerade weil laut Analysen Zugriffe über längere Zeiträume bestehen können, sollten Unternehmen Incident-Response-Prozesse so ausrichten, dass sie nicht nur Benutzerkonten sperren, sondern auch Autorisierungsartefakte bereinigen und die Wiederverwendung kompromittierter Token unterbinden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Microsoft-365-Phishing: Greatness PhaaS nutzt AiTM und Device-Code-Flow" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Microsoft-365-Phishing: Greatness PhaaS nutzt AiTM und Device-Code-Flow" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Microsoft-365-Phishing: Greatness PhaaS nutzt AiTM und Device-Code-Flow« bei Google Deutschland suchen, bei Bing oder Google News!