LONDON (IT BOLTWISE) – Eine neue Device-Code-Phishing-Kampagne missbraucht den legitimen Microsoft Device Authorization Grant Flow, um M365- und Entra-Konten zu übernehmen – ohne gefälschte Passwortseiten. Stattdessen platzieren Angreifer die Opfer in einen echten Microsoft-Login, wo ein vom Tool erzeugter device-code die Authentifizierung in deren Sitzung überführt. Die Hintergründe deuten auf eine wiederverwendbare „Broker“-Tooling-Schicht namens DEBULL, die sich flexibel anpassen lässt. Für Unternehmen verschiebt sich damit der Fokus von klassischem Credential-Phishing hin zu Token- und Session-Risiken, die in Security-Monitoring und Awareness-Programmen neu abgedeckt werden müssen.
Device-Code-Phishing rückt erneut in den Fokus, weil Angreifer den legitimen Microsoft-Authentifizierungsweg so ausnutzen, dass Multi-Faktor-Absicherung nicht automatisch hilft. Laut Beobachtungen des Security-Teams ZeroBEC läuft eine Kampagne mit lures im Collab-/Teams-Stil in der letzten Juniwoche 2026 an und zieht sich in den frühen Juli hinein. Bemerkenswert ist: Die Angreifer verzichten auf eine gefälschte Microsoft-Passwortseite. Stattdessen schicken sie Opfer über eine scheinbar harmlose Zusammenarbeit-Ansprache in das echte Microsoft Device Login, während ein Backend-Broker Device-Code-Tokens generiert und abfragt. Das senkt die Hürde für Account Takeover deutlich.
Technisch basiert das Vorgehen auf dem OAuth-2.0 Device Authorization Grant Flow. Dieser ist ursprünglich dafür gedacht, Geräte mit eingeschränktem Interface (z. B. Smart-TV oder Drucker) zu authentifizieren: Der Nutzer sieht auf dem Zielgerät einen kurzen Code, gibt ihn anschließend in einem Browser auf einem separaten Gerät ein und schließt damit die Authentifizierung über den vertrauenswürdigen Microsoft-Endpunkt ab. Genau diese Trennung wird von Angreifern missbraucht. Der device-code selbst wird über den Opfer-Click in Gang gesetzt und später dem Opfer als „Eingabe erforderlich“ vermittelt. Sobald der Nutzer den Code in der legitimen Microsoft-Eingabe bestätigt, autorisiert er unwissentlich die Sitzung des Angreifers.
Für die Einordnung ist die Nähe zu früheren Tradecrafts entscheidend: Die Aktivitäten zeigen starke Überschneidungen mit einer Microsoft-Dokumentation aus Februar 2025 unter dem Namen Storm-2372. Dort wurden Messaging- oder Teams-ähnliche Köder genutzt, um Opfer in die Eingabe eines attacker-provided device code samt Credentials zu treiben. Dass die aktuelle Kampagne dennoch „DEBULL“-ähnliche, wiederverwendbare Infrastruktur einsetzt, spricht für eine Weiterentwicklung: Storm-2372 liefert offenbar das Identitäts-Handwerk, während DEBULL als wiederholbare Tooling-Schicht dient. Genau diese Trennung macht die Kampagne skalierbar, weil Lures und Templates austauschbar bleiben, ohne die zugrunde liegende Identity- und Token-Logik zu ändern.
Marktseitig passt das in die breitere Professionalisierung von Phishing-as-a-Service (PhaaS). Proofpoint beschreibt in einer Analyse vom Mai 2026, dass bei Device-Code-Phishing der Code oft dynamisch erzeugt wird, sobald der Nutzer auf den initialen Phishing-Link klickt. Das wirkt wie eine kleine technische Anpassung, erhöht aber die Kontrolle der Angreifer über den Timing-Fenster und ermöglicht es, dass Opfer den Code nicht nur „zu Beginn“ sehen, sondern jederzeit den Attack-Chain-Start auslösen. Gleichzeitig wird Device-Code-Phishing laut Bericht als käufliche Plattformfunktion angeboten, etwa über EvilTokens oder Tycoon. Damit sinken die Entwicklungs- und Betriebsaufwände für neue Akteure.
Ein weiterer Wettbewerbs-/Ökosystem-Blick kommt über Cisco Talos: Das Team identifizierte einen voll ausgestatteten PhaaS-Operator-Panel namens ARToken, der über ein React-basiertes Dashboard 80+ API-Endpunkte bereitstellt – unter anderem für Device-Code-Phishing, Primary Refresh Token (PRT)-Persistenz, E-Mail-Zugriff, BEC-Operationen und SharePoint-Exfiltration. Zusätzlich wird eine Komponente namens ARTBrowser genannt, um erfasste Token bzw. Sessions nachgelagert außerhalb des Panels zu durchsuchen. EvilTokens, das in derselben Familie beschrieben wird wie DEBULL, soll ebenfalls auf erbeutete Tokens setzen, E-Mails und Dateien exfiltrieren, Recon über Microsoft Graph durchführen und Persistenz aufbauen. Die Folge ist ein industriell anmutendes „Toolchain“-Design, bei dem einzelne Module austauschbar sind.
Die Historie zeigt, warum dieser Stil besonders gefährlich ist: Klassisches Phishing zielt typischerweise auf die Erhebung von Passwörtern oder die Umgehung von MFA über man-in-the-middle-Seiten. Device-Code-Phishing dreht diese Logik, indem es die legitime OAuth-Flow-„Tür“ nutzt. Huntress fasst das sinngemäß so zusammen: Es wird nicht „eingehackt“, sondern der Nutzer wird durch eine vertrauenswürdige Auth-Experience geführt, ohne dass eine Passwortmaske erforderlich wäre. Wie bereits bei ATO-Szenarien (Account Takeover jumping) beschrieben, können Angreifer dann aus einer initial kompromittierten Mail-Identität neue Opfer adressieren – etwa über Buttons, Hyperlinks, Dokumenteinbettungen oder QR-Codes. Damit entsteht eine Multiplikationsschleife aus Identitätsmissbrauch und Delivery.
Der konkrete Angriffskontext, den ZeroBEC beschreibt, setzt auf vorgebliche Zahlungs- und Shared-Folder-Szenarien. Dabei führen URLs zu einem „legitimate-but-compromised“ Ziel in Kroatien, das als device-code Orchestrator fungieren kann. Auffällig sind türkischsprachige Developer-Marker in der Infrastruktur, allerdings reichen die Hinweise nicht für eine sichere Attribution. Für Unternehmen ist weniger die Herkunft entscheidend als das Risikoprofil: erfolgreiche Device-Code-Phishing-Setups können Vollübernahmen ermöglichen, wertvolle Informationen stehlen, BEC betreiben, laterale Bewegungen im kompromittierten Umfeld anstoßen und sogar disruptive Angriffe wie Ransomware begünstigen. Das ist besonders relevant für Netzwerke, die auf „Token“-basierte Berechtigungen statt auf reines Passwort-Handling optimieren.
Regulatorisch und betrieblich wird das Thema durch Identity- und Logdaten hochrelevant. Wenn Nutzeraktionen scheinbar „legitim“ über Microsoft ablaufen, müssen Security-Teams trotzdem Device-Code-Phishing erkennen – etwa über Anomalien bei Token-Submission, ungewöhnlichen OAuth-Client-Patterns, sprunghafte Session-Generierung oder inkonsistente User-Agent-/Geolokationsmuster. Aus Compliance-Sicht (z. B. Anforderungen an Protokollierbarkeit und Schutz personenbezogener Daten) erhöht das die Notwendigkeit, Authentifizierungs- und Zugriffsdaten end-to-end zu korrelieren. Für die Zukunft ist zu erwarten, dass PhaaS-Kits wie Tycoon 2FA den Device-Code-Grant als Delivery-Framework weiter übernehmen und stärker mit Automatisierung kombinieren, inklusive KI-gestützter BEC-Workflows zum Durchforsten und Entwerfen von Nachrichten. Damit werden robuste Kontrollen rund um „Session Integrity“ und Token-Lifecycle zum Wettbewerbsvorteil.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "DEBULL nutzt Microsoft Device-Code Flow für M365-Kontenübernahmen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "DEBULL nutzt Microsoft Device-Code Flow für M365-Kontenübernahmen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »DEBULL nutzt Microsoft Device-Code Flow für M365-Kontenübernahmen« bei Google Deutschland suchen, bei Bing oder Google News!