LONDON (IT BOLTWISE) – Sicherheitsforscher beschreiben eine breit angelegte Erpressungs- und Datendiebstahl-Kampagne, die Microsoft 365 gezielt über Vishing ansteuert. Die Angreifer täuschen IT- oder Helpdesk-Rollen vor und leiten zu einem Authentifizierungs-Theme-URL-Flow, der in einem AitM-Login Tokens und sogar MFA-Zustimmungen abgreift. Anschließend starten sie Session-Replay aus Proxy-Infrastruktur, um auf SharePoint, OneDrive, Exchange und weitere Cloud-Services zuzugreifen. Besonders auffällig: Es wird offenbar auf Endpoint-Malware und klassische laterale Bewegung verzichtet.
Rund um Microsoft 365 wächst ein Angriffsmuster, das weniger nach „klassischer Malware“ aussieht und dafür umso stärker auf menschliche Verfahrenslücken setzt. Wie Arctic Wolf in einer technischen Analyse beschreibt, wird eine Erpressungs- und Datendiebstahl-Kampagne unter dem Namen PREY-0058 beobachtet, die vor allem Direktoren, Vizepräsidenten und andere Führungskräfte adressiert. Der Einstieg erfolgt dabei nicht primär über E-Mail, sondern über Telefonanrufe, in denen die Täter IT- oder Helpdesk-Rollen imitieren. Die Social-Engineering-Komponente mündet in eine Richtung, die für Security-Teams besonders unangenehm ist: Die Opfer werden zu URL-Mechanismen geführt, die wie ein Login- bzw. Passkey-Umfeld wirken und den Weg in eine von Angreifern kontrollierte Authentifizierungsstrecke öffnen.
Der technische Kern der Kette liegt nach den Angaben der Forschenden in einem adversary-in-the-middle (AitM)-Flow, der für Token-Diebstahl und Session-Replay optimiert ist. Im Unterschied zu Szenarien, in denen Angreifer „nur“ Passwörter erbeuten, zielt der PREY-0058-Ansatz darauf ab, sowohl Zugangsdaten als auch MFA-Zustimmungen zu sammeln. Das funktioniert, weil der AitM-Login nicht im Hintergrund „ausspioniert“, sondern so gestaltet wird, dass die Authentifizierung wie bei einem legitimen Prozess wirkt und damit die Voraussetzungen für die Abnahme relevanter Sitzungsinformationen schafft. Die abgegriffenen Token werden anschließend für Replay-Angriffe genutzt, die aus Proxy-Infrastruktur wie NodeMaven angetrieben werden und dabei auch über IP-Adressen laufen, die geografisch sowie über ASN-Anker wieder in die Umgebung des Opfers „eingepasst“ wirken sollen.
Schon die frühen Anmeldeereignisse lassen laut der Analyse erkennen, welche Artefakte im Microsoft-Ökosystem als „Spuren“ zurückbleiben. Als Einstieg würden unter anderem Anwendungen wie „My Signins“, „My Profile“ oder „My Apps“ auftauchen, wobei diese Schritte Kontodetails und die verfügbaren Applikationen für das jeweilige Opfer sichtbar machen. Danach verschieben die Angreifer den Fokus auf Erkundung in Microsofts Identitäts- und Kollaborationslandschaft: SharePoint und Entra ID werden gezielt durchsucht, wobei SharePoint-Discovery unter anderem SearchQueryPerformed-Events mit passenden contentclass-Werten umfasst. Zusätzlich wird mit wildcard-basierten Abfragen und Pagination-Mechanismen gearbeitet, bei denen indexdocid als Bestandteil des Abfrageverlaufs erscheint. Diese Phase ist entscheidend, weil sie bestimmt, wie schnell ein Angreifer vom initialen Zugriff zu einem planbaren Datenabgriff kommt.
Im letzten Schritt folgt dann der eigentliche Massentransport aus den Cloud-Services. Wie beschrieben, führen die Angreifer eine en masse Collection und Exfiltration aus SharePoint, OneDrive, Exchange und auch aus Box durch, bevor anschließend Erpressungsforderungen an die Betroffenen versendet werden. Auffällig ist dabei der Verzicht auf typische Indikatoren, die viele Teams aus früheren Kampagnen kennen: PREY-0058 wird laut Arctic Wolf ohne die Installation von Endpoint-Malware oder mit klassischer netzwerkbasierter lateraler Bewegung umgesetzt. Stattdessen konzentriert sich das Vorgehen offenbar auf die Nutzung legitimer Cloud-Funktionen und authentifizierter Sitzungen, also auf das, was in vielen Organisationen zwar protokolliert, aber nicht immer konsequent als zusammenhängendes Muster erkannt wird.
Die Kampagne wird zudem über ein Netz aus Authentifizierungs- bzw. Lure-Domains operationalisiert, die mehrere hundert Einträge umfassen und echte Unternehmensdarstellungen imitieren. Arctic Wolf nennt dafür konkrete Lure-Domains im Stil passkey- und registerbezogener Pfade, darunter unter anderem assignpasskey[.]com, mfaregister[.]com, nowsso[.]com, oskeysetup[.]com und passkey-mfa[.]com. Damit wird die Angriffsfläche an einer Stelle konsolidiert, die für Nutzer schwer einzuschätzen ist: Während Telefonnummern und Rollen im Telefonat noch „menschlich“ plausibel wirken können, blendet der Link-Flow die technische Auffälligkeit der Session-Übernahme in die Benutzerinteraktion ein. Gleichzeitig betont Arctic Wolf, dass die wechselnden Namen und Clustermarken kein Beleg für eine einzelne Identität seien, sondern eher für ein Spektrum von Affiliates, Splinter-Crews und Gruppen stehen könnten, die ähnliche Phishing-Infrastruktur wiederverwenden.
Für den Abwehrblick bedeutet das vor allem: Man muss Angriffe nicht nur an einzelnen Events messen, sondern an Kettenverläufen. Arctic Wolf empfiehlt deshalb unter anderem, Conditional Access Policies konsequent umzusetzen, insbesondere mit Blick auf phishing-resistente MFA-Strategien, und gleichzeitig die Zugriffstiefe zu begrenzen, die Nutzer in SharePoint haben. Daneben raten die Forschenden zu gezielter Sensibilisierung von Mitarbeitenden und Helpdesk-Personal, weil die Telefon-Komponente sonst als „funktionierendes Einfallstor“ bleibt. Technisch lassen sich die Muster laut Analyse auch stören, etwa durch das Erkennen anomalem residential-proxy Token Replay, Auffälligkeiten bei SharePoint-Discovery sowie bei Bulk-Zugriffen und Mailbox-Harvesting. Gerade weil keine Endpoint-Malware ausgerollt wird, helfen diese cloud-nativen Kontrollen besonders, um die Lücke zwischen „es wurde sich authentifiziert“ und „es wurde missbräuchlich in großem Stil gesammelt“ zu schließen.
Branchenweit steigt damit der Druck, Authentifizierungs- und Session-Schutz in Microsoft-Umgebungen als eigenen Sicherheitsbaustein zu behandeln. Auch der Marktkontext spricht für anhaltenden Wettbewerb um die gleichen Schwachstellen: Das Muster erinnert an Erpressungs- und Token-Replay-Ansätze, wie sie in der Vergangenheit von anderen Sicherheitsorganisationen unter Clusternamen geführt wurden. Allerdings liegt der operative Unterschied im Detail des Flows – also darin, dass AitM-Login-Design plus MFA-Zustimmungsabgriff plus Session-Replay zusammenwirken. Für Unternehmen heißt das, Sicherheits-Workflows müssen nicht nur „MFA aktiv“ sagen, sondern „MFA-Integrität gegen Phishing“ praktisch durchsetzen, den Zugriff auf sensible Inhalte stärker segmentieren und Protokoll-Detektion so konfigurieren, dass Discover-and-Exfiltration-Pfade früh sichtbar werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Fake-IT-Anrufe stehlen Daten in Microsoft-365-Ketten und erpressen mit MFA-Token-Replay" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Fake-IT-Anrufe stehlen Daten in Microsoft-365-Ketten und erpressen mit MFA-Token-Replay" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Fake-IT-Anrufe stehlen Daten in Microsoft-365-Ketten und erpressen mit MFA-Token-Replay« bei Google Deutschland suchen, bei Bing oder Google News!