WASHINGTON / LONDON (IT BOLTWISE) – Das FBI warnt vor der Phishing-as-a-Service-Plattform Kali365, die Microsoft-365-Logins gezielt über eine Device-Code-Authentifizierung statt per Passwort abzuschöpfen versucht. Damit entziehen sich Angriffe häufig dem klassischen MFA-Zugangskontroll-Ansatz, obwohl scheinbar legitime Authentifizierungsschritte durchlaufen werden. Parallel zeigen neue Kampagnen, wie filelose Infostealer und Process-Hollowing-Techniken weiter in Windows-Umgebungen eindringen. Der Artikel ordnet die Mechanik ein und leitet konkrete Schutzmaßnahmen für Enterprise-IT und Security-Teams ab.
Das FBI schlägt Alarm: Mit Kali365 taucht eine Phishing-as-a-Service-Plattform auf, die nicht primär Passwörter abgreift, sondern den Authentifizierungsprozess von Microsoft 365 gezielt umgeht. Besonders brisant ist dabei, dass sich die Angriffe technisch so tarnen, dass Nutzer im Browser einen scheinbar normalen Autorisierungsschritt für eine Microsoft-Seite durchführen. In der Praxis bedeutet das: Selbst wenn Organisationen MFA aktivieren, kann ein falsch verstandener Device-Code-Flow die Kontrolle über Tokens und damit über Cloud-Postfächer, Dateibereiche und Team-Räume in Angreiferhände verschieben. Damit verschiebt sich das Risiko von „Account-Diebstahl“ hin zu „OAuth-Tokens als Dauerzugriff“.
Technisch lohnt der Blick auf den Unterschied zwischen klassischer MFA und device-codebasierten Autorisierungen. Bei Kali365 werden Nutzer in hoch überzeugenden E-Mails, häufig mit KI-generiertem Sprachduktus, dazu gebracht, einen Code auf einer legitimen Autorisierungsseite einzugeben. Die entscheidende Schwachstelle liegt nicht im MFA-Mechanismus an sich, sondern in der Nutzerhandlung innerhalb eines autorisierenden Gesamtsystems: Wird die Zustimmung erteilt, erhalten Angreifer OAuth-Zugriffs- und Refresh-Tokens, die anschließend wiederverwendbar sind. Dadurch bleibt der Zugriff persistenter als bei Angriffen, die nur auf zeitlich begrenzte Codes oder Passworthashes setzen. Für Security-Teams wird aus einem einmaligen Log-in-Vorfall ein Token- und Session-Lifecycle-Thema.
Parallel zur Kali365-Warnung zeigen andere Kampagnen, wie stark sich die Angriffsarchitektur in Richtung „wenig sichtbare Ausführung“ entwickelt. Sicherheitsforscher von FortiGuard Labs haben eine Variante eines PureLogs-Infostealers beschrieben, die über täuschend echte Bestell- und Dokumentmails ansetzt und schädliche Komponenten in mehrstufigen Ketten nachlädt. Zentral ist dabei die filelose Arbeitsweise: Nach der Ausführung von Skripten werden .NET-Module entpackt und per Process-Hollowing in legitime Prozesse wie MsBuild.exe injiziert. Weil der schädliche Code nicht als klassisches Artefakt auf der Festplatte liegt, sinkt die Wirksamkeit vieler auf Datei-Hashes oder statische Blocklisten ausgerichteter Kontrollen. Die Angriffsfläche verlagert sich in Richtung Telemetrie, Verhaltensdetektion und Anomalien.
In der Breite zeigt sich außerdem, dass Phishing-Dienstleistungen schneller skaliert werden als Abwehrmaßnahmen Schritt halten. Branchenbeobachter verweisen darauf, dass spezialisierte Phishing-Dienste zunehmend Echtzeit-Funktionen zum Abfangen von OTPs sowie KI-gestützte Phishing-Seiten integrieren. Das senkt die Einstiegshürde für Kriminelle erheblich und sorgt dafür, dass „Qualität“ der Social-Engineering-Vorlagen nicht mehr zwingend von Einzelakteuren abhängt. Als Gegenpol müssen Unternehmen ihren Fokus stärker auf Identity-Sicherheit, Browser-/Token-Schutz und kanalübergreifende Awareness setzen, statt ausschließlich auf das Schulungsplakat zu vertrauen. Microsoft-nahe Schutzmechanismen wie Conditional Access sind dabei nur ein Teil der Gleichung; entscheidend ist die durchgängige Auswertung von Login-Risiken, Geräteprofilen und Autorisierungsereignissen.
Unternehmensseitig empfiehlt das FBI insbesondere Maßnahmen, die device-codebasierte Autorisierungen restriktiver machen und Conditional Access konsequent verschärfen. In ähnlicher Richtung argumentieren Experten aus dem Security-Umfeld: Sie betonen, dass die Abwehr bei OAuth-Flows nicht bei „MFA aktiv“ endet, sondern bei „MFA plus korrekte Policy plus Nutzer-Validierung“ beginnt. Für die Praxis heißt das, dass Teams Authentifizierungsrichtlinien so gestalten sollten, dass verdächtige Token-Ausstellungen, ungewöhnliche Consent-Patterns und Risiken aus neuen Geräten oder Standorten automatisch behandelt werden. Zudem sind Review-Prozesse für App-Consents, Least-Privilege-Rollen und eine zeitnahe Token-Revocation bei Verdacht zentrale Hebel, um aus einem Einzelfehlklick keinen dauerhaften Zugriff zu machen.
Der Markt zeigt dabei keine einheitliche Reaktionsgeschwindigkeit: Während Security-Organisationen wie Mandiant oder Google Threat Intelligence wiederholt auf technische Missbrauchsmuster hinweisen, bleibt die operative Umsetzung bei vielen Firmen fragmentiert. Das liegt häufig an historisch gewachsenen Systemen und unterschiedlichen Datenpfaden zwischen Identity-Providern, SIEM/SOAR und Endpoint-Detection. Besonders sichtbar wird das an weiteren Fällen, in denen Angreifer Schwachstellen ausnutzen, um Webshells oder Command-and-Control-Komponenten einzubringen. So haben Sicherheitsanalysten Ende Mai eine kritische Zero-Day-Lücke (CVE-2026-5426) im KnowledgeDeliver Learning Management System gemeldet, die durch gemeinsam genutzte ASP.NET-Maschinenkeys das Remote-Ausführen von injiziertem JavaScript erleichtern kann. Solche Vorfälle unterstreichen: Wenn Identity und Plattformen nicht gemeinsam abgesichert werden, entstehen Kettenlücken von der Kompromittierung zur Token-Ausschöpfung.
Auch abseits von Microsoft 365 ist das Muster „Sozialer Zugang plus technische Persistenz“ deutlich. Die Silent Ransom Group (SRG) setzt laut Berichten auf Vishing und Social Engineering gegen US-amerikanische Kanzleien, um Mitarbeitern Fernwartungssoftware wie Zoho Assist oder AnyDesk schmackhaft zu machen und so an sensible Daten zu gelangen. Deutsche Behörden beschuldigen zudem russlandnahe Akteure, Signal-Phishing gegen politische Persönlichkeiten geführt zu haben, um PINs und QR-Codes abzugreifen. Für Organisationen in regulierten Branchen ergibt sich damit eine übergreifende Strategiefrage: Wie verhindert man, dass Authentifizierung und Kommunikation in parallelen Kanälen gleichzeitig kompromittiert werden, ohne Datenschutzpflichten zu verletzen. Denn gerade bei der Untersuchung von Login-Risiken und Token-Events müssen Logdaten so erhoben und verarbeitet werden, dass sie dem Prinzip der Datenminimierung entsprechen.
Für die nächsten Wochen und Monate ergibt sich daraus ein klarer Handlungsrahmen: Unternehmen sollten zunächst die risikobasierten Identity-Signale ausbauen, also Authentifizierungs- und Consent-Logs so in Monitoring und Incident-Response überführen, dass auffällige Device-Code-Interaktionen früh auffallen. Danach folgt die technische Absicherung der Endpunkte, indem filelose Angriffe besser über Verhalten und Prozessketten erkannt werden, etwa durch Regeln für Process-Hollowing-Indikatoren, ungewöhnliche MsBuild-Ausführungen und verdächtige Command-and-Control-Kontakte. Schließlich gehört Awareness in ein technisches Modell: Schulungen müssen erklären, warum „MFA-aktiv“ nicht gleichbedeutend ist mit „Autorisierung ist automatisch sicher“, insbesondere wenn Codes in fremden Kontexten eingegeben werden. Wer das Zusammenspiel aus Token-Schutz, Schwachstellenmanagement und verständlicher Nutzerführung operationalisiert, reduziert nicht nur Kali365-Risiken, sondern stärkt die gesamte Abwehr gegen die nächste Generation von KI-gestütztem Social Engineering.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Kali365-Phishing: FBI warnt vor MFA-Umgehung in Microsoft 365" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Kali365-Phishing: FBI warnt vor MFA-Umgehung in Microsoft 365" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Kali365-Phishing: FBI warnt vor MFA-Umgehung in Microsoft 365« bei Google Deutschland suchen, bei Bing oder Google News!