LONDON (IT BOLTWISE) – Eine neue Ghost-Phishing-Welle nutzt verschlüsselte HTML-Seiten, die erst im Browser „lebendig“ werden, nachdem eine anfänglich harmlos wirkende E-Mail bereits die Sicherheitschecks passiert hat. Laut den vorliegenden Analysen basiert der Angriff auf einem Microsoft-Device-Code-Flow, der keine klassische Passwortbeschaffung erzwingt, sondern Zugang über die Browser-Interaktion autorisiert. Für SOC-Teams wird damit der blinde Fleck sichtbar: URL- und Proxy-Checks reichen oft nicht, wenn die eigentliche Nutzlast erst nach dem Entschlüsseln im DOM entsteht. Der Beitrag zeigt, wie In-Browser-Sandbox-Analysen die Angriffskette frühzeitig rekonstruieren und die Weitergabe an Tier 2 beschleunigen können.
Eine besonders unangenehme Variante von Phishing rückt derzeit in den Fokus: sogenannte Ghost-Phishing-Angriffe, bei denen die schädliche Seite zunächst „unsichtbar“ bleibt. Der Haken liegt nicht nur in der Täuschung über eine E-Mail, sondern in der zeitlichen Streckung der Angriffslogik. Während herkömmliche Prüfungen eine URL- oder Antwortsignatur als unauffällig einstufen können, entlädt sich die eigentliche Manipulation erst dann, wenn die Seite im Browser entschlüsselt und gerendert wird. Für Sicherheitsteams bedeutet das: Selbst wenn ein Gateway früh eine erste HTTP-Antwort sieht, fehlen oft die Informationen darüber, was der Mitarbeitende tatsächlich im DOM präsentiert bekommt und welche Authentifizierungsschritte im Hintergrund starten.
Technisch wird das Muster besonders klar, wenn man den Ablauf in einer Browser-nahen Analyse rekonstruiert. In den beschriebenen Fällen kommt ein Microsoft-Device-Code-Phishing-Ansatz zum Einsatz: Ziel ist nicht zwingend, das Passwort direkt abzugreifen. Stattdessen führt die Kampagne Nutzer dazu, einen vermeintlich legitimen Microsoft-Login-Flow abzuschließen, wodurch die Angriffsseite im Ergebnis unbemerkt Autorisierungen für den kompromittierten Microsoft-365-Zugang erhält. Die entscheidende Schwachstelle für klassische Kontrollen entsteht, weil die HTML-Nutzlast erst nach dem Entschlüsseln im Browser sichtbar wird. Wird der Inhalt mit einem Schema wie AES-GCM verschleiert, sieht ein statischer URL-Check häufig nur die Oberfläche – und eben nicht die später im DOM auftauchende Phishing-Logik.
Aus dieser Architektur folgen typische Probleme im Betrieb: Netzwerklevel-Regeln erkennen zwar mitunter, dass „irgendetwas“ passiert, aber sie können die semantische Wirkung im Browser nicht verifizieren. Genau hier entsteht ein Sichtbarkeits-Spalt zwischen Tier 1 und der eigentlichen technischen Begründung. Wenn ein Team Alerts nur anhand von URLs, ersten HTTP-Response-Mustern oder Proxy-Metadaten bewertet, wächst die Zeit bis zur Eindämmung. Im Worst Case bleibt der Microsoft-365-Account länger offen, bis genügend Kontext vorliegt, um gezielt nachzuweisen, welche Autorisierung erteilt wurde und welche Folgeaktionen der Angreifer anstößt. Das erhöht zudem den Anteil unvollständiger Indizien, wodurch verwandte Infrastruktur später eventuell zu spät blockiert wird.
Auch der Marktkontext verschärft die Lage, weil die Risiken in den betroffenen Branchen besonders hoch sind. Berichten zufolge konzentrieren sich die beobachteten Aktivitäten geographisch auf die USA und Europa und zielen unter anderem auf Technologie, Fertigung, Bildung, Banken, Consulting sowie Dienstleister im Managed-Security-Umfeld. Bemerkenswert ist dabei weniger nur die Auswahl der Industriesegmente, sondern die Kombination aus Zugriffsweg und Zielsystem: Ein einzelner kompromittierter Microsoft-365-Account kann E-Mail-Kommunikation missbrauchen, interne Dateien zugänglich machen und Folgeangriffe bis hin zu Fraud-Szenarien anstoßen. Je länger ein Ghost-Phishing unentdeckt bleibt, desto größer wird die Wahrscheinlichkeit, dass aus einer anfänglichen Kontoübernahme ein breiterer Business-Vorfall wird. Damit steigt auch der Druck auf SOC-Ressourcen, insbesondere bei wiederholten Escalations und umfangreichen forensischen Nacharbeiten.
Im Wettbewerbsvergleich zeigt sich, dass diese Angriffsform nicht durch einen einzelnen „Clean-Scan“ gelöst ist. Produkte und Workflows rund um Microsoft 365-Protections, E-Mail-Sicherheits-Gates wie auch URL- und Threat-Intelligence-Abfragen adressieren häufig den Zeitpunkt vor dem Laden der Nutzlast. Gleichzeitig existieren Ansätze wie Browser Isolation, sichere Web-Gateways oder Sandboxing, die das Laden einer Seite kontrollieren sollen – doch bei Ghost Phishing entscheidet die Art der Analyse: Reicht eine reine Netzwerkprüfung oder braucht es eine In-Browser-Dateninspektion bis hin zum DOM? Moderne SOCs müssen außerdem eine Art „Beweisführung“ automatisieren können. Wo Security Orchestration and Response, etwa über SIEM- oder SOAR-Workflows, bislang oft an URL-Indizien hängenbleibt, verlangt Ghost Phishing eine Beobachtung der tatsächlichen Browser-Ausgabe. Das deckt sich mit dem allgemeinen Trend zu stärker verhaltensbasierten Detektionsmechanismen: nicht nur „Was ist die URL?“, sondern „Was passiert beim Rendern im Browser?“
Der praktische Hebel liegt daher in der In-Browser-Sandbox, die verschlüsselte Antworten nicht nur durch „Durchleiten“, sondern bis zur Anzeigeebene nachvollzieht. In den beschriebenen Analysen lässt sich beobachten, wie die entschlüsselte HTML-Struktur im DOM sichtbar wird und wie sich diese Änderung mit einem konkreten Request-Flow verknüpfen lässt – inklusive des Microsoft Device Code Backends. Entscheidend ist, dass Teams von der verschleierten Startantwort zu den Folgekommunikationen durchsteigen: Welche Fetch- oder XHR-Aufrufe werden ausgelöst, an welche Endpunkte richtet sich der Device-Code-Prozess, und welche Artefakte stützen am Ende die Containment-Entscheidung? Wenn die Untersuchung außerdem Snapshot-basierte Belege liefert, sinkt die Reibung bei der Weitergabe. Für Tier 2 kann der Übergang schneller werden, weil die Beweiskette nicht erneut manuell rekonstruiert werden muss, sondern in strukturierter Form vorliegt.
Für den künftigen Betrieb zeigt sich ein klarer Ausblick: Unternehmen sollten den „Visibility Gap“ als Prozessproblem behandeln, nicht als reines Tool-Problem. Wer Ghost Phishing vermeiden will, muss den Analysefokus dahin verschieben, wo die Nutzlast tatsächlich wirksam wird: in die Browser-Ausführung, inklusive DOM-Veränderungen und der Abfolge relevanter HTTP/Backend-Interaktionen. Gleichzeitig ist die Frage der Compliance und des Datenschutzes nicht nachrangig: In-Browser-Analysen müssen so konzipiert sein, dass keine personenbezogenen Daten unkontrolliert aus echten Nutzerkontexten in Testumgebungen geraten. Das gelingt typischerweise durch strikt getrennte Ausführungsumgebungen, kontrollierte Datenfeeds und klare Lösch- und Zugriffskonzepte. Wenn diese Leitplanken sauber umgesetzt sind, wird Sandbox-Evidenz zum belastbaren Bestandteil der SOC-Entscheidungen – und reduziert die Wahrscheinlichkeit, dass aus einem harmlosen Erstsignal ein späterer Incident wird.
Unterm Strich macht Ghost Phishing eine alte Annahme sichtbar: „Wenn die URL sauber wirkt, ist der Fall erledigt“ stimmt immer weniger. Die beschriebene Angriffskette zeigt, wie stark moderne Kampagnen darauf setzen, dass traditionelle Prüfstellen den tatsächlichen Inhalt im Browser nicht sehen. Für Sicherheitsverantwortliche heißt das: Containment muss schneller möglich sein, sobald der Browser die entschlüsselte Nutzlast offenlegt. Wenn außerdem die Erkennung automatisiert aus dem Browserkontext ableitet – etwa über Indikatoren wie Domains, Endpunkte und Hashes – reduziert das die Belastung für Senior-Analysten und verbessert die Konsistenz der Antworten. Der wichtigste nächste Schritt ist damit organisatorisch und technisch zugleich: In-Browser-Beobachtbarkeit als Standard für verdächtige Authentifizierungslinks etablieren, damit „Ghost“-Signale nicht erst im Nachhinein zum Problem werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Ghost Phishing: Wie verschlüsselte Seiten Microsoft 365-Angriffe verschleiern" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Ghost Phishing: Wie verschlüsselte Seiten Microsoft 365-Angriffe verschleiern" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Ghost Phishing: Wie verschlüsselte Seiten Microsoft 365-Angriffe verschleiern« bei Google Deutschland suchen, bei Bing oder Google News!