LONDON (IT BOLTWISE) – Eine von Arctic Wolf als PREY-0058 bezeichnete Angriffsserie nutzt IT-Helpdesk-Vishing, AitM-Tokendiebstahl und kompromittierte Anmeldungen über Residential-Proxies, um in Microsoft-365-Umgebungen einzudringen. Die Täter richten dabei ihren Fokus besonders auf Direktoren, Vice Presidents und andere Führungskräfte. Aus der festgestellten Angriffslogik folgt: Zuerst werden Anmelde- und MFA-Informationen abgegriffen, danach werden Session-Tokens für Replay-Angriffe missbraucht. Anschließend sammeln die Angreifer massenhaft Daten aus SharePoint, OneDrive, Exchange und Box und leiten schließlich Erpressungsforderungen an Betroffene weiter.
Die neue Angriffsbeschreibung ordnet sich weniger in klassische Malware-Kampagnen ein, sondern zeigt einen präzise orchestrierten Zugriffspfad, der mit dem Telefon beginnt. Laut den veröffentlichten Threat-Hunting-Details zielt ein Cluster unter dem Namen PREY-0058 auf Microsoft 365 sowie weitere SaaS-Umgebungen und setzt dabei auf IT-Helpdesk-Vishing: Angreifer geben sich in Telefonaten als interne Support- oder Helpdesk-Mitarbeiter aus und lenken potenzielle Opfer auf eine eigens präparierte, authentication-orientierte Zielseite. Besonders bemerkenswert ist der Auswahlfokus auf leitende Funktionen wie Direktoren, Vice Presidents und weiteres Executive-Staff, weil diese Rollen typischerweise schneller mit Authentifizierungsprozessen, Freigaben und Zugriffsanforderungen konfrontiert sind. Damit wird aus einem vermeintlichen „Support-Anruf“ ein Einstieg in einen Angriffsablauf, der die Schwächen von Nutzerinteraktionen ausnutzt, statt ausschließlich technische Lücken zu suchen.
Technisch startet die Kette mit Social Engineering und landet anschließend in einer Token-raubenden Adversary-in-the-Middle-Logik (AitM). Laut den Analysen führen die Lure-Domains jeweils auf Szenarien, die einem ähnlichen Muster folgen, bei dem die Opfer auf eine Authentifizierungsseite geleitet werden und dort Credentials sowie MFA-Approval-Prozesse preisgeben sollen. Die konkreten beobachteten Luredomains umfassen unter anderem assignpasskey[.]com, mfaregister[.]com, nowsso[.]com, oskeysetup[.]com und passkey-mfa[.]com, daneben weitere Varianten wie oursso[.]com und setpasskey[.]com. Entscheidend ist dabei der nächste Schritt: Die Angreifer betreiben einen operator-controlled AitM Microsoft-365-Login-Flow, der explizit darauf ausgelegt ist, nicht nur Benutzernamen und Passwörter abzugreifen, sondern auch Multi-Faktor-Freigaben zu erbeuten und daraus anschließend Session-Token zu gewinnen.
Mit den erlangten Session-Tokens folgt der Teil, der für Security-Teams häufig schwerer zu erkennen ist: ein Session-Replay aus Proxy-Infrastruktur. Die vorliegenden Details nennen Replay-Angriffe, die von derartigen Proxy-Ressourcen wie NodeMaven ausgehen, sowie IP-Adressen, die beim Reverse-Mapping auf denselben geografischen Standort und dieselbe ASN wie das Opfer zeigen. Das verwischt Anomalie-Signale, die in vielen SOCs stark auf „unbekannte Länder“ oder auffällige IP-Heuristiken setzen. Auffällig ist außerdem, dass die Attack Chains ohne sichtbare Endpoint-Malware und ohne nachgelagerte lateral movement über das Netzwerk beschrieben werden. Stattdessen wird die eigentliche „Post-Exploitation“ offenbar durch die gestohlenen Token und durch gezielte Discovery-Schritte realisiert: Die Forscher beschreiben initiale Aktivitäten, bei denen Anwendungen wie „My Signins“, „My Profile“ und „My Apps“ genutzt werden, um Konto- und Anwendungsinformationen sichtbar zu machen, bevor die Angreifer Discovery gegen SharePoint und Entra ID anstoßen.
Der weitere Verlauf wirkt wie ein Modellfall für datenzentrierte SaaS-Ausnutzung. In der Beobachtung tauchen SharePoint-Discovery-Muster auf, darunter SearchQueryPerformed-Events mit contentclass: STS_Site und contentclass: STS_Web sowie wildcard-basiertes Paging über indexdocid. Danach wird es operativ: Die Angreifer führen „en masse collection“-Schritte aus und exfiltrieren massenhaft Daten aus SharePoint, OneDrive, Exchange und Box, bevor im Anschluss Erpressungsforderungen an die Betroffenen adressiert werden. Für Unternehmen ist das eine andere Risikologik als bei klassischen Ransomware-Szenarien, weil die „Verschlüsselung“ hier weniger im lokalen Gerät stattfindet als vielmehr in Form von Abflussdruck auf vertrauliche Inhalte. Entsprechend geht es weniger um Dateisystem-Hygiene und stärker um Kontrolle von Authentifizierungsflüssen, Token-Nutzung und die Begrenzung von Datenzugriffen in den einzelnen SaaS-Silos.
Der Bericht ordnet PREY-0058 außerdem in ein breiteres Ökosystem aus umbenannten oder weiterentwickelten Akteuren ein. Arctic Wolf stellt den Cluster in Verbindung mit einem Mandiant-nach-UNC6671 klassifizierten Data-Extortion-Umfeld und führt außerdem aus, dass Cinder möglicherweise ein Rebrand oder eine Fortsetzung von Pink-Operationen sein könnte. Gleichzeitig wird betont, dass die Labels nicht zwingend eine einzelne, identisch agierende „Person“ als Ursache belegen, sondern häufig ein konglomerates Set aus Affiliates, Split-Gruppen und Crews sind, die dieselbe Phishing-Infrastruktur oder ähnliche Tradecraft-Elemente teilen. Für die Praxis bedeutet das: Verteidigung sollte nicht an Namenslogik hängen, sondern an den wiederkehrenden technischen Mustern – vishing-basierter Einstieg, AitM-Login zur Tokengewinnung und anschließendes Session-Replay aus Proxy-Netzen.
Aus Markt- und Architekturperspektive zeigt die Beschreibung, warum klassische „Phishing-only“-Kontrollen nicht reichen. Der Bericht empfiehlt unter anderem Conditional Access Policies, phishing-resistente Multi-Faktor-Authentifizierung und eine Reduktion der Datenzugriffsbreite in SharePoint. Daneben rücken auch Detektionsideen in den Vordergrund, die auf das konkrete Muster zielen: anomalous residential-proxy token replay, SharePoint discovery kombiniert mit bulk access, mailbox harvesting sowie neu registrierte lure-infrastruktur mit authentication-orientiertem Charakter. Besonders in Branchen wie Construction und Engineering, Healthcare und Pharmaceuticals, Real Estate, Finance sowie Professional Services – die als Hauptzielräume genannt werden – ist diese Kombinationslogik entscheidend, weil dort oft viele dokumenten- und freigabeintensive Workflows laufen und Führungskräfte häufig als Gatekeeper für Zugriff und Freigaben fungieren. Wer diese Rollen in den Authentifizierungsprozess einbezieht, muss deshalb parallel die Angriffsoberfläche an der Helpdesk-Kommunikation und am Token-Lifecycle absichern, nicht nur am Endgerät.
Unterm Strich liefert PREY-0058 ein klares Sicherheitsbild für die nächsten Monate: Die größte Angriffsenergie fließt in Social Engineering, in die Umgehung von MFA-Prozessen über AitM und in die aus Token gespeiste Fähigkeit, authentifizierte Sitzungen nahezu „weiterzunutzen“, statt Systeme unmittelbar zu kompromittieren. Organisationen, die ihre Microsoft-365-Umgebungen bislang vor allem über Endpoint-Schutz und generische Phishing-Filter abgesichert haben, sollten die Kontrollen auf Conditional Access, Token-Use-Signale und SharePoint/Entra-ID-Discovery-Aktivitäten hin ausbauen. Damit lässt sich zwar nicht jede Social-Engineering-Interaktion verhindern, aber der zentrale Hebel ist gut getroffen: den Replay- und Exfiltrationsweg im Moment der Token-Nutzung so stark zu stören, dass aus einem kurzfristigen Zugriff kein massiver Datendiebstahl und keine Erpressungswelle wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Microsoft 365 im Visier: IT-Helpdesk-Vishing und AitM-Tokenraub" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Microsoft 365 im Visier: IT-Helpdesk-Vishing und AitM-Tokenraub" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Microsoft 365 im Visier: IT-Helpdesk-Vishing und AitM-Tokenraub« bei Google Deutschland suchen, bei Bing oder Google News!