LONDON (IT BOLTWISE) – Angreifer setzen zunehmend auf den „normalen“ Einstieg über IT-ähnliche Kontakte, freigegebene Dateien und scheinbar vertrauenswürdige Apps. In der aktuellen Zusammenstellung rückt vor allem OAuth-Consent-Phishing in den Fokus, das statt Passwörtern Zugriffe über Benutzerzustimmung ausnutzt. Gleichzeitig zeigen neue Reports mehrere Varianten von Remote-Session-Abgriffen über Microsoft Teams, gefolgt von Ransomware- und ID-Diebstahlketten. Für Unternehmen wird damit die zentrale Sicherheitsregel noch dringlicher: vorhandene Zugriffe prüfen, bevor man neue Freigaben erteilt.
Die aktuelle Bedrohungslage wirkt auf den ersten Blick nicht nach „Großangriff“, sondern nach Alltagsarbeit: ein Anruf aus der IT, eine geteilte Datei, eine bekannte Oberfläche und am Ende die Aufforderung, eine Freigabe zu erteilen oder auf „Allow“ zu klicken. Genau dieses Muster zieht sich durch die Sammlung der neuen und überarbeiteten Angriffstechniken: Viele Kampagnen setzen nicht auf exotische Exploits, sondern auf Verhaltensfehler. Das heißt auch: Ein einzelner vertippter Buchstabe in einer Webadresse kann reichen, um Nutzer auf gefälschte Login-Seiten oder veraltete Konto-Links zu lenken. Parallel tauchen weiterhin klassische Bausteine auf – von Ransomware über gestohlene Identitätsdaten bis hin zu versteckten Command-and-Control-Servern, die mit schwachen, lange nicht angepassten Konfigurationen kombiniert werden.
Besonders deutlich wird der Trend zu „Zugriff statt Passwort“. Das FBI warnt vor OAuth-Consent-Phishing, bei dem Angreifer prominente Zielpersonen und auch deren Umfeld direkt über Messaging-Konten anschreiben und sie mit bösartigen Links konfrontieren. Die Mechanik: Betroffene sollen eine scheinbar harmlose Datei-Freigabe über eine App öffnen, die jedoch unter Kontrolle des Angreifers steht. Damit kann der Angreifer nicht einfach ein Kennwort erraten, sondern Nutzer durch eine Konsens-Geste in eine Rechtevergabe drängen. Aus Sicht des Security-Designs verschiebt sich damit der Hebel weg von Credential-Hygiene hin zu Prompt- und Consent-Security, also der Frage, wem welche Rechte wirklich erteilt wurden und wie schnell sich diese Zustände prüfen lassen.
Auch bei den Remote-Session-Ansätzen bleibt „vertrauenswürdige IT“ die Drehachse. Microsoft beschreibt einen menschengeführten Intrusion-Plan, der Microsoft Teams als extern sichtbaren Kanal für die IT-Impersonation nutzt und Nutzer in eine interaktive Fernsession manövriert. Sobald über RMM-Tools (Remote Monitoring and Management) Kontrolle entsteht, kommt PowerShell zum Einsatz, um ein bösartiges MSI-Paket nachzuladen und still zu installieren; danach folgt eine Laufzeitumgebung für Node.js und ein verschleiertes JavaScript-Implant, das persistente Kommandofähigkeit sowie Command-and-Control (C2) bereitstellt. Für die Praxis ist dabei weniger die Toolkette als die Systematik relevant: Die Angreifer führen umfangreiche Host- und Active-Directory-Recherchen durch, erfassen regelmäßig Screenshots, nutzen vertrauenswürdige Windows-Binaries für Folgeaktionen und bewegen sich dann über Windows Remote Management (WinRM) zu wertvollen Zielen wie Domain Controllern. Zusätzlich wird Microsoft Teams in einer Vishing-Operation namens „Spring Ring“ missbraucht: Zwischen Januar und April 2026 sollen mehr als 150 Mitarbeitende in mindestens 10 Unternehmen über externe Teams-Konten adressiert worden sein, wobei zunächst eine Chat-Anmutung in eine Vishing-Situation kippt und in einer stärkeren Variante sogar ein NTLM-Relay Richtung Domain Controller erfolgt.
Während sich die Zugriffswege über verschiedene Kommunikationskanäle verteilen, wird auf der Angreiferseite die „Produktion“ immer stärker standardisiert. Bei Ransomware wird etwa die Operation „The Gentlemen“ als wiederholbares Affiliate-Playbook beschrieben: Es kombiniert opportunistischen Initial Access, schnelle Privilegeskalation, legitime Remote-Zugangsmechanismen, Tool-Deployment in vertrauenswürdigen Systempfaden, gezielte Datenexfiltration, aggressive Defense-Evasion, Unterbrechung von Backups und schließlich den Ransomware-Schritt. Auffällig ist die Flexibilität der Affiliates: Sie wechseln zwischen nativen Windows-Utilities, kommerziellen und Open-Source-Werkzeugen und passen auch Fähigkeiten rund um EDR-Abwehr sowie die Manipulation von Backup-Diensten an die Zielumgebung an. Parallel tauchen weiterhin Phishing-as-a-Service-Angebote auf, die Behördenmaßnahmen überdauern: So soll eine Plattform namens „Outsider“ trotz Durchgriffs auf einzelne Domains weiterhin über ein Telegram-Ökosystem aktiv sein, inklusive WebSocket-basiertem Live-Keylogging und Manipulationen bei MFA-Herausforderungen.
Mit Blick auf neuere Angriffsoberflächen zeigt sich außerdem, wie KI und Automatisierung Angreifer schneller durch die „Hürden“ bringen. Ein Beispiel sind LLM-Anweisungsdateien („llms.txt“ bzw. „llms-full.txt“), die bei einem Scan von 6.214 Live-Domains bei verschiedenen Unternehmen auf Wurzelebene neben robots.txt gefunden wurden. Solche Dateien sind laut Forschern keine Sitemap und kein „Disclaimer“, sondern kuratierte Instruction Sets für KI-Agents: was zu lesen ist, welche APIs aufzurufen sind, welche Packages zu installieren sind und welche Domains als vertrauenswürdig gelten. In der Untersuchung wurden 120 Fälle identifiziert, in denen Installationshinweise auf Paketnamen und Domains zeigten, die so oder in der Form zuvor nicht existierten. Der kritische Punkt für Verteidiger ist, dass mindestens ein aktiver Missbrauch bereits aus der Fehlkonfiguration ableitbar ist: Dabei soll ein Authentifizierungsanbieter in seiner llms.txt einen nicht korrekt gescopenen npm-Namen referenziert haben, während ein unbekannter Akteur genau diesen Namen als öffentliches Paket registrierte und Code für einen „Phone-home“-Beacon einbaute. Parallel kündigen über 100 beteiligte KI- und Tech-Unternehmen in einem offenen Appell an, dass KI-enabled Angriffe die Zeitfenster für Abwehrteams verkürzen und die Skalierung bösartiger Kampagnen beschleunigen.
Für die IT-Sicherheit ergibt sich daraus ein sehr praktischer Handlungsdruck: Eine Änderung am Passwort schließt nicht automatisch alle Türen. Wenn ein Angreifer bereits durch eine bad app approval, eine Remote-Session oder eine einmal erteilte App-Zustimmung Zugriff erhalten hat, kann dieser Persistenzpfad weiter bestehen. Daraus folgt als kurzfristige, umsetzbare Priorität, was auch in der Zusammenstellung als „sicherster Regel“ hervorgehoben wird: den bestehenden Zugriff inventarisieren, Remote-Tools und offenen Sitzungen nachziehen, unbekannte App-Zugriffe entfernen und erst danach neue Freigaben hinzufügen. So lässt sich zumindest das Risiko reduzieren, dass ein einzelnes falsch gesetztes OAuth-Consent-Detail oder eine scheinbar harmlose Remote-Zugangsfreigabe zum Dauerzugang wird – unabhängig davon, ob die nächste Angriffswelle mit Teams, OAuth oder weiteren „KI-instruierbaren“ Web-Hinweisen anrollt.
Am Ende bleibt die Lage widersprüchlich genug, um nicht in Alarmismus zu verfallen und doch konsequent zu werden. Einerseits zeigen die Berichte, dass viele Kampagnen auf bekannte Muster setzen: Social Engineering, Remote-Control-Ketten, standardisierte Kits und opportunistische Initial-Access-Wege. Andererseits verdichten sich die Signale, dass Automatisierung und KI die Zeiten bis zur Ausnutzung verkürzen und dass Angreifer Zustände ausnutzen, die Unternehmen lange tolerieren konnten. Für Entscheider bedeutet das: Sicherheitskonzepte müssen schneller sichtbar machen, was bereits autorisiert ist, und sie müssen verhindern, dass „Einmal-Klicks“ langfristig zu interaktiven Zugriffsrechten werden. Wer hier die eigenen Checkpoints aktualisiert, reduziert nicht nur die Trefferquote, sondern auch die Auswirkungen, falls ein Nutzer wieder eine vermeintlich vertrauenswürdige Tür öffnet.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "OAuth-Consent-Traps, Phishing-Kits & weitere KI-gestützte Angriffsmuster im Wochenüberblick" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "OAuth-Consent-Traps, Phishing-Kits & weitere KI-gestützte Angriffsmuster im Wochenüberblick" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »OAuth-Consent-Traps, Phishing-Kits & weitere KI-gestützte Angriffsmuster im Wochenüberblick« bei Google Deutschland suchen, bei Bing oder Google News!