LONDON (IT BOLTWISE) – Ein PhaaS-Toolkit namens Greatness integriert Device-Code-Phishing, um über den OAuth 2.0 Device Authorization Grant Zugriffstokens zu erbeuten und MFA zu umgehen. Das System kombiniert dabei mehrere Angriffsmodule wie AiTM-Token-Diebstahl und Consent-Abuse in einer gemeinsamen Bedienoberfläche. Neu ist, dass Angreifer Tokens ohne auffällige Fake-Login-Seiten ziehen können, weil die Anmeldeseite beim legitimen Dienst bleibt. Parallel zeigen die beschriebenen Kampagnen, wie konsequent Redirect-Ketten, CAPTCHA-Gates und persistentes Replay von Tokens für längeren Zugriff genutzt werden.
Die PhaaS-Plattform (Phishing-as-a-Service) „Greatness“ rückt erneut in den Fokus, weil sie ihr Toolkit um ein Angriffsmuster ergänzt, das besonders gut zu modernen OAuth-Flows passt: Device-Code-Phishing. Laut einem Bericht von ZeroBEC ermöglicht Greatness damit Angreifern, den OAuth 2.0 Device Authorization Grant zu missbrauchen, um still und ohne typische Nutzerinteraktion Zugriffstokens zu erhalten. Damit adressiert die Plattform ein wiederkehrendes Problem in Unternehmensumgebungen: Selbst wenn Multi-Faktor-Authentifizierung (MFA) aktiv ist, können Angreifer bei feingliedrigen OAuth-Workflows die „falschen“ Aktionen triggern und so Sitzungen oder Tokens an sich ziehen. Entscheidend ist dabei, dass nicht nur Zugangsdaten abgegriffen werden sollen, sondern im Kern Session- und Token-Mechanismen ausgenutzt werden.
Technisch knüpft das System an eine bestehende Entwicklung im Phishing an, die weg von reinen Credential-Harvestern hin zu integrierten Angriffsketten führt. Greatness kombiniert laut der Darstellung eine Bedienoberfläche mit Kampagnen-Statistiken, Konfigurationsmöglichkeiten für Domains, CAPTCHA-Auswahl sowie mehreren vorgefertigten Lure-Templates. Die Operator-Seite wird dabei über ein Abo-Modell zugänglich gemacht, wobei ZeroBEC das Monatsentgelt von $289 nennt; zuvor sei bereits ein niedrigerer Einstiegspreis berichtet worden. Wer sich einlässt, erhält einen Dashboard-Zugang, kann Operator-spezifische Domains im Format „api-[token].[base-domain]“ provisionieren und bekommt zudem bereits konfigurierte Artefakte, die nicht erst mühselig gebaut werden müssen. Die Bedeutung solcher Bausteine liegt für Tätergruppen auf der Hand: Je weniger Eigenentwicklung nötig ist, desto schneller lassen sich Kampagnen skalieren und in Zielumgebungen „einschleusen“.
Neu im beschriebenen Setup ist die Device-Code-Phishing-Variante als Branch innerhalb der Redirect-Kette. ZeroBEC schildert, dass Opfer, die auf einen manipulierten Link klicken, über eine fünfstufige Redirect-Chain geführt werden, die Anti-Analyse-Schutz, User-Agent-Fingerprintings und ein CAPTCHA-Gate umfasst, bevor der Angriff zum Endpunkt führt. Genau hier liegt der Unterschied: Bei AiTM-Ansätzen (Adversary-in-the-Middle) sitzt eine Proxy-Seite zwischen Nutzer und Identitätsanbieter und kann im Idealfall Sitzungs-Cookies aus dem laufenden Login-Dialog abgreifen. Beim Device-Code-Phishing soll dagegen ein „sauberer“ Pfad entstehen, weil die Seite, auf der die Passworteingabe erfolgt, aus Sicht des Opfers echt bleibt. In der Analyse wird das damit verglichen, dass Angreifer lediglich einen kurzen Code und eine plausible Begründung benötigen, während der visuelle Login-Vorgang nicht als Fake enttarnt wird.
Die Kampagnenbeschreibung zeigt außerdem, wie gezielt Vertrauen aus bestehenden Konfigurationen in Unternehmen ausgenutzt wird. In den jüngsten Fällen setzen die Akteure laut ZeroBEC auf spoofed Lures, etwa mit RingCentral-Voicemail-Motiven, die E-Mail-Gateways umgehen können, weil sie sich die „safe sender“-Logik zunutze machen. Das ist mehr als klassische Markenimitation: Wenn die Zielorganisation tatsächlich Kunde eines Dienstes mit der relevanten Domain ist, entsteht ein stärkerer „Anker“ für Entscheidungsregeln bei der Zustellung. Der Bericht betont folglich auch den Zusammenhang zu Vendor-Breaches: Wenn eine Liste kompromittierter Kunden von einem Anbieter nach außen gelangt, wissen Angreifer, welche Empfängerorganisationen Domain-Konfigurationen und Ausschlussregeln bereits in ihrem System „vertrauen lassen“. Für Verteidiger heißt das praktisch, dass Vendor-Disclosure-Meldungen nicht nur als Informationsereignis betrachtet werden sollten, sondern als Trigger für Audits und das Nachschärfen von Exklusions- und Zustellungslogik.
Nach dem erfolgreichen Phishing wird das Bild zusätzlich operativ: Geerntete Tokens sollen laut ZeroBEC innerhalb von Minuten per Replay aus Proxy-Infrastruktur erneut genutzt werden, gefolgt von einer Enumeration verschiedener Microsoft-365-Ressourcen über die Microsoft-Graph-API. Genannt werden etwa Outlook, Teams, SharePoint, Exchange, OneDrive sowie Kontakte und Kalender. Besonders relevant für die Incident-Reaktion ist die Beobachtung, dass ein AiTM-Proxy-IP-Adresse mehr als zwei Wochen nach der ursprünglichen Kampagne noch aktiv gegen das betroffene Konto authentifiziert haben soll; das deutet auf eine längere Nutzbarkeit oder auf persistente Zugriffsmöglichkeiten hin, die in OAuth- und Session-Mechaniken begründet sein können. Ergänzend nennt der Bericht Aktionen wie das zeitnahe Registrieren neuer Geräte, um ein Primary Refresh Token (PRT) für langfristigen Zugriff zu generieren, sowie das bewusste Verzögern weiterer Schritte wie dem Einrichten bösartiger Inbox-Regeln oder der Exfiltration sensibler E-Mail-Daten, um Erkennungssignale in den ersten Stunden zu senken.
Damit verschiebt sich die Verteidigungslogik von „nur MFA hart genug?“ hin zu „welche Authentifizierungspfade erlauben wir überhaupt?“. Für Device-Code-Phishing nennt der Bericht konkrete Gegenmaßnahmen: Über Conditional-Access-Policies könne man die betroffene Authentifizierungsmethode auf globaler Ebene blockieren; parallel wird empfohlen, auf phishing-resistente MFA-Verfahren umzusteigen und Mitarbeitende dafür zu sensibilisieren, unerwartete Codes nicht ungeprüft zu akzeptieren. Falls der Device-Code-Flow in sehr spezifischen Use-Cases tatsächlich benötigt wird, sollte die Ausnahme selektiv und eng begrenzt bleiben und fortlaufend auditiert sowie widerrufen werden, sobald der Bedarf entfällt. Genau dieser Punkt ist für IT-Leitungen entscheidend: Die Angriffe wirken nicht nur „technisch“, sondern operational, weil sie erlaubte OAuth-Mechaniken als Machbarkeitsfaktor nutzen.
Gleichzeitig macht die Einordnung klar, warum Greatness nicht als singuläres Phänomen zu verstehen ist. Die Plattform steht in einer breiteren Entwicklung, in der PhaaS-Kits zunehmend mehrere OAuth-nahe Angriffsmuster bündeln und dabei auch Anti-Analyse-Techniken übernehmen, etwa über mehrstufige Redirect-Ketten unter Nutzung legitimer Infrastruktur. Zudem wird berichtet, dass sich diese Angriffe teilweise trotz zuvor erfolgter Störungen durch Strafverfolgung und die Abschaltung von Domains weiterentwickeln. Für Sicherheitsverantwortliche folgt daraus weniger die Hoffnung auf „einmaliges Abschalten“, sondern die Notwendigkeit, Authentifizierungsflüsse dauerhaft zu kontrollieren, Token- und Session-Risiken konsequent zu reduzieren und das Telemetrie-Design so auszulegen, dass ungewöhnliche Geräteanmeldungen, Token-Replays oder ungewöhnliche OAuth-Geräte-Interaktionen früh sichtbar werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "PhaaS-Toolkit Greatness erweitert Device-Code-Phishing zur Token-Abegriffung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "PhaaS-Toolkit Greatness erweitert Device-Code-Phishing zur Token-Abegriffung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »PhaaS-Toolkit Greatness erweitert Device-Code-Phishing zur Token-Abegriffung« bei Google Deutschland suchen, bei Bing oder Google News!