LONDON (IT BOLTWISE) – Forg365 ist eine neue Phishing-as-a-Service-Plattform, die Microsoft-365-Konten mit Device-Code-Tricks und AitM-Man-in-the-Middle gezielt übernimmt. Betreiber nutzen dabei legitime Zustellwege wie Amazon SES und Twilio SendGrid, um Lures wie reguläre E-Mail-Weiterleitungen wirken zu lassen. Besonders riskant: Nach dem Token-Zugriff können Session-Cookies über eine Chromium-Erweiterung fortgeschrieben und dann für OWA, OneDrive und SharePoint eingesetzt werden. Der Bericht ordnet das Ganze als industrialisierte Abo-Betriebsform ein, die auch wenig technisch versierten Akteuren massenhaft Kampagnen ermöglicht.
Eine neue Phishing-as-a-Service-(PhaaS)-Plattform namens Forg365 rückt Microsoft 365 stärker in den Fokus, weil sie mehrere Techniken in einer einzigen Angriffskette bündelt: Device-Code-Phishing, adversary-in-the-middle-(AitM)-Methoden, Bot-Abwehr, KI-gestützte Köder-Erstellung und anschließende Operationen im Postfach. Laut ZeroBAC ist das kein Einzelfall, sondern eine weiterentwickelte „Workflow“-Industrialisierung, bei der Betreiber die komplette Kette von Lure bis Token-Handling als Abo-Setup orchestrieren können. Damit verschiebt sich das Risiko von „einzelnen Phishing-Seiten“ hin zu wiederverwendbaren, konsistenten Angriffsroutinen auf Zielkonten, die für Unternehmen schwerer zu erkennen sind.
Technisch setzt Forg365 auf eine Zustellung, die sich bewusst in den normalen E-Mail-Betrieb einfügt. Wie beschrieben, werden Lures verteilt, wobei Versandkanäle mit hoher Reputation wie Amazon Simple Email Service (Amazon SES) genutzt werden. Der Nachrichtentext enthält dabei Inhalte, die über Twilio SendGrid gehostet werden, etwa Bilder oder Tracking-Ressourcen. Der eigentliche Effekt entsteht durch die gestaffelte Weiterleitung: Die Kette wirkt zunächst wie eine plausible Redirect-Chain innerhalb legitimer E-Mail-Infrastruktur, bevor die Nutzer in Forg365-kontrollierte Domains abgezogen werden. Dazu kommen Telegram-Registrierung und ein Operator-Panel, das clearnet-basiert erreichbar ist.
Der Kerngriff beim Device-Code-Phishing folgt einem Muster, das auf Sichtbarkeit statt auf „unscheinbare“ Login-Farmen setzt. Forg365 präsentiert eine Microsoft-ähnliche Bestätigungsseite und schiebt das Opfer dann in einen echten Microsoft Authentication Broker Sign-in Flow. So sieht die betroffene Person reale Microsoft-Oberflächen, während der Code die Autorisierung einer attacker-kontrollierten Session ermöglicht. Genau an dieser Stelle wird es für Security-Teams besonders anspruchsvoll: Log-Einträge wirken „echt“, weil UI und Teile des Authentifizierungsweges Microsoft-oberflächennah sind. Als Verteidigung wird deshalb in der Quelle empfohlen, Device-Code-Authentifizierung nur dann zuzulassen, wenn sie wirklich benötigt wird, und nach solchen Ereignissen Mailbox-Artefakte eng zu prüfen.
Für die Umgehung von Zugriffsschutz arbeitet die Plattform zudem mit AitM-Komponenten, die zwischen Phishing und Ablenkung unterscheiden. Die Quelle beschreibt die Nutzung von Route-Tokens, Session-Cookies und Traffic-Klassifikation, um zu entscheiden, ob Phishing-Inhalte ausgeliefert werden oder ein harmloser Decoy. Wird außerdem ein VPN erkannt, soll der Kit auf unkritische Decoy-Inhalte umschalten. Damit zielt Forg365 nicht nur auf „Benutzer“, sondern auch auf die Umgebungen typischer Sicherheitsprüfungen und automatisierter Analysen. Verglichen wird das Konzept explizit mit dem Kali365-/Octopi365-/Freedom365-Umfeld sowie der Sneaky-2FA-Ökosystemlogik, die bereits zuvor auf Token-Ausnutzung und industrialisierte Kampagnen gesetzt hat.
Ein weiterer Punkt mit hoher operativer Wirkung ist ForgCookie, eine Browser-Erweiterung für Chromium-basierte Browser wie Google Chrome, Microsoft Edge und Brave. Sie ist als „automatic SSO cookie refresh“ für Microsoft-Dienste beschrieben und fungiert als Zwischenkomponente zwischen Token-Erwerb und Browserzugriff. Konkret greift sie auf das Backend zu, ruft Cookie-Generierung für ein Konto auf, löscht Microsoft-Session-Cookies, injiziert ein Refresh-Token-Kontrollcookie in die Microsoft-Login-Domäne und startet anschließend einen stillen OAuth-Flow. Danach werden Cookies über Microsoft-Domains hinweg erfasst. Für Unternehmen bedeutet das: selbst nach „erkanntem“ Zugriff kann eine Session-Aktualisierung den Schaden verstetigen, wenn keine konsequente Session-Abmeldung und Token-Rotation erfolgt.
Im Marktumfeld ordnet sich Forg365 in eine Serie parallel beobachteter PhaaS-gestützter Kampagnen ein, darunter Sneaky-2FA-ähnliche Weiterleitungs-Ketten, Kali365-Varianten und weitere Kits wie „The Quarry“ (für Credential Theft plus Remote-Access-Delivery) oder Nyasher (für Google-Kontoübernahmen mit Redirect-Chain und Scanner-Filter). Das zeigt ein Muster, bei dem einzelne Kits nicht nur Konten stehlen, sondern auch die Weiterleitung zu Endzielen wie OWA, OneDrive, SharePoint oder Admin-Portalen automatisieren. Analytisch lässt sich daraus ableiten, dass die Hürde sinkt: weniger technische Einstiegskomplexität, mehr Wiederverwendbarkeit von Infrastruktur, und ein Abo-Modell für kontinuierliche Kampagnen. Für die Verteidigung wird entsprechend nicht mehr nur „URL-Blocking“ relevant, sondern auch die Absicherung von Session-Lebenszyklen, Mail-Flow-Regeln und Identitäts-Workflows.
Auf der Zukunftsseite dürfte genau diese Plattformlogik den Druck auf Identitäts- und E-Mail-Governance erhöhen. Wenn Betreiber mit „token vaulting“, Infrastrukturrotation, Keyword-Alerts und KI-unterstütztem Antwortdrafting nach der Kompromittierung agieren, verschiebt sich die Detektionsphase von der Initialanmeldung hin zur post-compromise Aktivität im Postfach. Praktisch heißt das: Organisationen sollten Mail-Flow-Artefakte nach Device-Code-Ereignissen systematisch mit Benutzerverhalten korrelieren, Forwarding-Beziehungen und historische Identitäten überprüfen und Legacy-Aliase entfernen, die nicht mehr zu aktiven Mitarbeitern gehören. Zudem sollte man AitM-Resilienz über Richtlinien stärken, die ungewöhnliche OAuth- und Session-Cookie-Refresh-Sequenzen aufdecken. Der Bericht macht damit deutlich: Wer Microsoft 365 schützt, muss nicht nur Login-Versuche, sondern auch Session-Fortschreibung und Weiterleitungslogik konsequent mitdenken.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Forg365 als PhaaS: Gerätcode-Phishing und AitM gegen Microsoft 365" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Forg365 als PhaaS: Gerätcode-Phishing und AitM gegen Microsoft 365" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Forg365 als PhaaS: Gerätcode-Phishing und AitM gegen Microsoft 365« bei Google Deutschland suchen, bei Bing oder Google News!