LONDON (IT BOLTWISE) – Sicherheitsforscher beschreiben eine vishingbasierte Angriffsserie, die gezielt Microsoft 365-Accounts von Führungskräften ansteuert. Angreifer missbrauchen IT-Helpdesk-Rollen und führen Opfer auf ein Authentifizierungs-Setup, um Login-Daten und MFA-Freigaben abzugreifen. Im nächsten Schritt verwenden sie gestohlene Sitzungstokens für Session-Replay aus Proxy-Infrastruktur. Besonders auffällig ist, dass dabei offenbar kein klassisches Endpoint-Malware- oder laterales Bewegungssetup nötig ist.
Bei der Angriffsgruppe unter dem Namen PREY-0058 fällt ein Muster auf, das in vielen Incident Reports zwar als „Social Engineering“ auftaucht, hier aber technisch konsequent durchgezogen wirkt: Die Täter klingeln nicht mit reinen Phishing-Bannern, sondern beginnen mit Telefonanrufen, die Helpdesk- oder IT-Rollen imitieren. In der beschriebenen Kette lenken sie das Ziel auf eine URL, die wie ein unternehmensnahes Auth-Szenario wirkt und im Anschluss auf einen von Angreibern kontrollierten Login-Flow für Microsoft 365 umleitet. Dadurch wird die Schwachstelle von der Aufmerksamkeit des Nutzers auf den Authentifizierungsprozess selbst verlagert – und damit auch auf den Moment, in dem MFA-Freigaben entstehen.
Technisch setzt die Kampagne auf einen adversary-in-the-middle (AitM)-Ansatz, der mehr kann als nur Passwörter abgreifen: Laut der Analyse wird der Login-Stream so behandelt, dass sowohl Anmeldedaten als auch MFA-„Approve“-Signale erfasst werden. Anschließend nutzen die Angreifer die gewonnenen Sitzungstokens, um in einer echten oder zumindest für den Dienst plausiblen Sitzung fortzufahren. Dieser nächste Schritt ist deshalb so brisant, weil Tokens – im Unterschied zu Einmal-Credentials – gerade dafür gebaut sind, nach erfolgreicher Authentifizierung für eine Weile wiederverwendbar zu sein. PREY-0058 ergänzt das Abgreifen offenbar durch Session-Replay-Angriffe, die aus Proxy-Infrastruktur heraus starten, etwa aus NodeMaven, und die in Geografie und ASN auffällig zu denen des Opfers passen.
Die ersten sichtbaren Anzeichen beim Einstieg werden mit Anwendungen wie „My Signins“, „My Profile“ und „My Apps“ beschrieben. Dahinter steht eine weitere Arbeitstechnik: Durch den Zugriff auf solche Kontoansichten lassen sich Account-Details und die verfügbaren Applikationen besser aussteuern, bevor die eigentliche Datenerhebung erfolgt. Danach folgen Discovery-Schritte gegen SharePoint und Entra ID. Für SharePoint wird unter anderem ein Suchverhalten mit SearchQueryPerformed-Events genannt, das u. a. „contentclass: STS_Site“ und „contentclass: STS_Web“ adressiert und außerdem Wildcard-Suchen sowie paginierungsähnliche Zugriffe über „indexdocid“ nutzt. Das ist weniger „klassisches Durchprobieren“ als gezielte Informationsbeschaffung, bei der der Angreifer systematisch herausfindet, wo die relevanten Inhalte liegen.
Im finalen Schritt kommt es dann laut den Forschern zu einer massenhaften Sammlung und Exfiltration aus SharePoint, OneDrive und Exchange sowie zusätzlich aus Box. Erst danach werden die Opfer mit Erpressungsforderungen konfrontiert. Besonders bemerkenswert: Arctic Wolf betont die Abwesenheit von Endpoint-Malware-Deployment und von netzwerkbasierter lateraler Bewegung. Mit anderen Worten: Die Autoren der Kampagne scheinen bewusst darauf zu setzen, dass sich der Zugriff über die Cloud-Dienste und deren Token-Mechanik allein „genug“ anfühlt, um zur Ziel-Umgebung durchzustoßen. Zusätzlich wurde über die Subdomains der Lure-Infrastruktur berichtet, dass es sich um hunderte Einträge handelt, die echte Firmen imitieren.
Ein Teil der Verteidigerarbeit dreht sich daher weniger um Malware-Erkennung als um Anomalien im Authentifizierungs- und Datenzugriffsverhalten. Für PREY-0058 werden als Ziele u. a. Branchen wie Bau und Engineering, Gesundheits- und Pharmaunternehmen, Immobilien- und Property-Management, Finanzen sowie professionelle Dienstleistungen genannt. Als Gegenmaßnahmen raten die Analysten, Conditional Access konsequent umzusetzen, phishing-resistente MFA-Mechanismen einzuführen und den Zugriff auf Daten in SharePoint stark zu begrenzen. Dazu kommt organisatorische Komponente: IT- und Helpdesk-Mitarbeitende sollen für vishing-spezifische Risiken sensibilisiert werden, also für das Verhalten rund um „telefonisch ausgelöste“ Auth- und Support-Anfragen. Auch wenn Künstliche Intelligenz in der Öffentlichkeit oft als Erklärungsversuch für Social-Engineering-Dynamik herhält: In dieser konkreten Beschreibung steht der technische Token-Diebstahl und der Session-Replay-Mechanismus im Vordergrund, nicht ein KI-Modell als eigenständiger Angriffsbaustein.
Operativ können Defender die beschriebenen Spuren als Erkennungshebel nutzen. In der Empfehlungsliste nennt Arctic Wolf die Erfassung anomalem Residential-Proxy Token Replay ebenso wie SharePoint-Discovery- und Bulk-Access-Muster sowie mailbox harvesting und auffällige neu registrierte Auth-„Lure“-Infrastruktur. Die in der Analyse genannten Lure-Domains folgen dabei einem wiedererkennbaren Auth-Theme, das Angreifer über Domains wie assignpasskey[.]com, passkey-mfa[.]com, registermymfa[.]com oder oskeysetup[.]com zur Umleitung verwenden. Entscheidend ist weniger, die einzelne Domain zu blockieren, sondern die Kette als Ganzes zu unterbrechen: Conditional Access und phishing-resistente MFA sollen den AitM-Token- und MFA-Approve-Moment weniger verwertbar machen, während strengere Berechtigungsgrenzen in SharePoint die Exfiltrationsfläche verkleinern.
Für die Markt- und Sicherheitslage ergibt sich daraus ein klares Signal: Cloud-basierte Identität und Datenzugriff werden in solchen Kampagnen nicht als „nachgelagerte“ Phase behandelt, sondern als Hauptbühne. Unternehmen sollten daher Authentifizierungsereignisse, Token-Nutzung und Cloud-Datenpfade als zusammenhängende Telemetrie betrachten. Wer heute nur Endpoint-Schutz priorisiert, riskiert, genau die Angriffslogik zu übersehen, die hier ohne Malware auskommt. Gleichzeitig schafft der Fokus auf konkrete Trigger – etwa Bulk-Zugriffe, ungewöhnliche Proxy-/ASN-Kombinationen und Discovery-Queries – eine planbare Grundlage für Incident Response: Anstatt nur auf Indikatoren zu reagieren, kann man die Cloud-Workflows so absichern, dass die Angreifer erst gar nicht die notwendigen Sitzungstokens verwerten können.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "PREY-0058: Vishing-Attacken zielen auf Microsoft 365-Token und MFA-Freigaben" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "PREY-0058: Vishing-Attacken zielen auf Microsoft 365-Token und MFA-Freigaben" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »PREY-0058: Vishing-Attacken zielen auf Microsoft 365-Token und MFA-Freigaben« bei Google Deutschland suchen, bei Bing oder Google News!