LONDON (IT BOLTWISE) – Angreifer nutzen gestohlene Microsoft Entra-ID-Anwendungs-Registrierungssecrets, um unbefugten Zugriff auf Microsoft-365- und Azure-Umgebungen zu erlangen. Laut den vorliegenden Angaben wurden 45 App-Registrierungen in 18 Organisationen angegriffen; 33 davon ließen sich erfolgreich authentifizieren. Dadurch konnten 27 Organisationen kompromittiert werden, darunter nach Branchenangaben auch Kunden aus energie-, behörden- und lebensmittelbezogenen Bereichen. Besonders auffällig ist der überwiegend per Skript ausgeführte Zugriff, der in kurzen Bursts mehrere Log-ins auslöst.
Der konkrete Angriff zielt nicht auf klassische Phishing-Ketten, sondern auf einen Teil der Identitätsarchitektur, der für viele Managed Service Provider (MSP) und Managed Security Service Provider (MSSP) im Alltag unsichtbar bleibt: Anwendungs-Registrierungen in Microsoft Entra ID. Wer hier gestohlene Application Secrets einsetzt, kann sich gegenüber Microsoft 365 und Azure mit gültigen, aber fremden Zugangsdaten ausweisen. Das reduziert den Effekt vieler Standard-Detections, die vor allem auf anomal erscheinende Endnutzer-Logins, Browser-Fingerprints oder Passwortfehler reagieren, weil die Authentifizierung technisch „korrekt“ wirkt.
Nach den vorliegenden Informationen wurden 45 Application Registrations über 18 Organisationen hinweg ins Visier genommen. Die Angreifer konnten sich in 33 dieser Registrierungen erfolgreich authentifizieren, und erst dadurch wird der Schritt Richtung tatsächlicher Kompromittierung plausibel: Insgesamt werden 27 Organisationen als kompromittiert beschrieben. Besonders relevant für die Betreiber von Dienstleistungs-Ökosystemen ist dabei die Auswirkung „nachgelagert“: Zu den betroffenen Stellen sollen auch Kunden aus mehreren Branchen gehört haben, unter anderem aus Energie, Regierung, Food & Agriculture, Transport sowie Bauwesen. In solchen Konstellationen reicht ein einzelnes fehlkonfiguriertes Service-Principal-Setup oder ein kompromittiertes Secret oft aus, um breiter als nur eine Plattformkomponente zu schaden.
Technisch lässt sich das Angriffsmuster als Missbrauch legitimer Berechtigungen mit anschließendem, datenbezogenem Zugriff beschreiben. Laut den Angaben wurden dabei 2.300 Mailbox-Items ausgelesen und 81 Dateien heruntergeladen. Ein zusätzlicher Hinweis auf die Vorgehensweise sind die Authentifizierungszeiten: Etwa 95% der Sign-ins sollen über „scripted clients“ erfolgt sein, also über automatisierte Clients statt interaktiver Sessions. Noch deutlicher wird die Geschwindigkeit der Operation durch Bursts von 24 Sign-ins innerhalb von 10 Sekunden. Genau diese Kombination – hohe Automatisierungsquote plus kurzfristige Aktivitätsspitzen – ist häufig ein Indikator dafür, dass ein Angreifer nicht manuell arbeitet, sondern eine Pipeline zur Ausnutzung der gestohlenen Secrets betreibt.
Für IT-Sicherheitsteams ist die Abgrenzung zu „klassischen“ Supply-Chain-Angriffen entscheidend. Hier geht es nicht um kompromittierte Software-Updates, bei denen ein Updateprozess als Liefervektor missbraucht wird. Stattdessen werden vorhandene gültige Secrets für App-Registrierungen genutzt. Das verändert sowohl die Risikoanalyse als auch die Abwehrstrategie: Wenn die Authentifizierungsbasis bereits vertrauenswürdig aussieht, verschiebt sich der Fokus weg von Integritätsprüfungen der Softwarehinweise hin zu Identitäts- und Secret-Hygiene, also Fragen wie: Wo werden Application Secrets gelagert, wie häufig werden sie rotiert, und welche Berechtigungen sind für den jeweiligen Service Principal wirklich notwendig?
In der Beobachtung wird zudem betont, dass es keine direkte Verbindung zu einer konkreten, zuvor in Umlauf geratenen Agentic-Tool-Kampagne geben soll. Gleichzeitig deuten die zeitlichen Muster darauf hin, dass sich die Angreifer dennoch automatisierter Tooling-Mechanik bedienen. Für die praktische Bewertung heißt das: Auch wenn ein bestimmter Tool-Name möglicherweise nicht nachweisbar ist, bleibt das grundlegende Muster gleich – massenhafter, schneller Zugriff über gestohlene Anwendungsgeheimnisse. Für MSPs und deren Kunden ist das ein doppelter Sicherheitshebel, weil sie häufig zentralen Zugriff auf mehrere Mandanten oder Plattformen bündeln und damit die Reichweite einzelner Identitätsfehler exponentiell wächst.
Empfohlen wird, verdächtige Authentifizierungsprofile systematisch zu überwachen, während die Angriffe nach den Angaben offenbar noch laufen. Dazu gehören insbesondere ungewöhnliche Sign-in-Muster bei App-Registrierungen (etwa plötzliche Aktivitätsspitzen, neue geografische oder IP-bezogene Verteilungen, wiederkehrende Sign-ins aus ähnlichen Client-Setups) sowie Abweichungen von etablierten Nutzungsroutinen. Gerade weil diese Kampagne auf bereits gültigen Secrets basiert, müssen Erkennungssysteme stärker als bisher auf Verhaltens- und Zugriffskontexte setzen und nicht nur auf „ob ein Login grundsätzlich möglich ist“. Wer Identity Governance in Verbindung mit Secret-Rotation und Least-Privilege-Prinzipien konsequent umsetzt, kann den Schaden zukünftiger Secret-Komplexitätsangriffe deutlich begrenzen.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Stolen Entra-ID-App-Secrets gefährden MSPs: Angreifer kompromittieren 27 Organisationen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Stolen Entra-ID-App-Secrets gefährden MSPs: Angreifer kompromittieren 27 Organisationen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Stolen Entra-ID-App-Secrets gefährden MSPs: Angreifer kompromittieren 27 Organisationen« bei Google Deutschland suchen, bei Bing oder Google News!