BUDAPEST / LONDON (IT BOLTWISE) – Eine Fehlkonfiguration auf einem öffentlich erreichbaren Python-Server hat einer französischen Sicherheitsfirma Einblick in gleich drei Evilginx-Phishingoperationen gegen Microsoft 365 gegeben. Laut Lexfo nutzten die Akteure zwei unterschiedlich gelagerte Umgehungswege rund um MFA: einmal durch klassisches Reverse-Proxy-Session-Hijacking und einmal über Missbrauch des Microsoft Device-Code-Flow. Entscheidend ist: Stärkere passwortlose Verfahren blocken den Proxy-Teil, lassen aber den zweiten Weg nur dann wirksam verschwinden, wenn Conditional Access gezielt nachgerüstet wird. Der Fall zeigt zudem, wie stark sich Angriffe inzwischen aus öffentlichen Repositorys, ausgelagerten Tools und teils KI-unterstütztem Code zusammensetzen.
Ein einzelner Bedienfehler kann im Angriffszyklus mehr preisgeben als ein ganzes Leak-Portal: In der untersuchten Kampagne, die Lexfo datentechnisch rekonstruiert hat, lief auf einem öffentlich exponierten System ein Python-Webserver mit aktivierter Verzeichnisauflistung. Der Operator hatte dabei den Startbefehl python3 -m http.server 8080 in der öffentlich lesbaren.bash_history stehen, inklusive weiterer Konfigurationsartefakte. Aus dieser „Beinahe-Selbstoffenbarung“ leitete die Analyse gleich mehrere Phishing-Setups ab und verknüpfte sie über Toolchain- und Repo-Spuren. Die beobachteten Kampagnen waren nicht nur punktuell: Eine der Evilginx-Implementierungen soll seit über einem Jahr aktiv gewesen sein, überwiegend gegen Unternehmenspostfächer.
Technisch gesehen basierten die Operationen auf Forks des open-source Evilginx-Proxys, die aus öffentlichen GitHub-Repositorys geklont und dann in mehreren Richtungen angepasst wurden. Für das klassische Szenario proxyten die Angreifer die Live-Anmeldung, um Session- und Token-Informationen nutzbar zu machen, obwohl die betroffenen Nutzer ihre MFA korrekt durchlaufen. Dabei ist die zweite Ebene besonders relevant: Ein Teil der Kampagnen verwendete eine legitime Microsoft Sign-in-Flow-Mechanik, um die Validierungslogik in einem anderen Pfad zu treffen. Die Folge ist, dass identische Bedrohungsbilder (MFA „wird erfüllt“) in Wirklichkeit zwei unterschiedliche Angriffsflächen treffen. Und genau diese Trennung bestimmt, welche Gegenmaßnahme wirklich greift.
Lexfo beschreibt in der Auswertung drei Phishingkampagnen, die von demselben Umfeld aus gestartet und über öffentliche Codebausteine erweitert wurden. Ein wiederkehrendes Muster: Die Betreiber nutzten nicht nur öffentliche Frameworks, sondern fügten eigene „Glue“-Komponenten hinzu, die das Angriffssignal für Erkennungssysteme abschwächen oder die Interaktion mit der Zielseite verbessern. So soll ein Fork (genannt red-queen) Subresource-Integrity-bezogene Checks gezielt umgehen, Attribute in der HTML-Ausleitung umbenennen und ein URL-Rewriting in der http_proxy.go-Schicht ergänzen. Außerdem wurde ein Vorbefüllen der Opfer-E-Mail-Adresse implementiert, um Abbruchwahrscheinlichkeiten zu senken. Dazu passte ein Cookie-Handling mit langen TTLs, wodurch ein gestohlener Session-Zustand ein Passwort-Reset überdauern kann.
Der zweite Weg (black-queen) ist weniger „MFA-bypass“ im Sinne von „MFA wird ausgeschaltet“, sondern eher ein Missbrauch eines legitimen Device-Code-Flow: Der Angreifer erzeugt einen echten device code, baut eine Authenticator-ähnliche Köderseite und fordert die Zielperson auf, den Code auf einer echten Microsoft Device-Login-Seite einzugeben. Die Authentifizierung erfolgt dann vollständig auf Microsoft-Infrastruktur, inklusive MFA, die die Nutzer selbst ausführen. Der Angriffsserver kann anschließend Token-Zugriffe abgreifen, weil die Sessionbindung, die einen klassischen Reverse-Proxy-Abbruch verursachen würde, in diesem konkreten Szenario nicht im erwarteten Maß greift. Microsoft hat diese Technik bereits dokumentiert und das Risiko als medium confidence für eine bestimmte Ausrichtung bewertet; unabhängig davon zeigt der Vorfall, wie schnell solche Muster in „Crime-as-a-Software“-Ökosysteme diffundieren.
Markt- und Ökosystemseitig deutet die Recherche auf eine zunehmend industrialisierte Lieferkette für Phishing-Tools hin. Lexfo ordnet die beobachteten Kits in ein Umfeld ein, das als Phishing-as-a-Service beschrieben wird, wobei ein „MaDoO Blaster“ genannter Bulk-Mailer als monetarisierbare Komponente auftaucht. Auffällig ist zudem die Rollenverteilung: In den Berichten wird betont, dass der mutmaßliche Betreiber die Kernframeworks nicht selbst gebaut, sondern aus öffentlichen Quellen übernommen und nur die „Problemstellen“ rund um Erkennung, Interaktion und Token-Haltbarkeiten angepasst hat. Auch die Indizien für KI-gestützte Entwicklung sind vielfältig: In einzelnen Repos gab es Hinweise auf co-autorierte Commits mit KI-Modellen sowie KI-generierte oder KI-ähnliche Anweisungsdokumente für die Implementationsdetails. Damit sinkt die Einstiegshürde deutlich, weil weder Reverse-Proxy-Logik noch Sign-in-Flow-Handling neu erfunden werden müssen.
Für Enterprise-Defender ergibt sich daraus eine zweifache Lesson-Learned: Passwortlose MFA-Verfahren wie FIDO2/Passkeys oder phishing-resistente MFA schließen das Reverse-Proxy-Szenario weitgehend, aber sie sind allein kein vollständiger Schutz gegen Device-Code-Missbrauch. Die wirkungsvolle Gegenmaßnahme liegt im Conditional Access-Kontext. Microsoft empfiehlt (in der in der Analyse referenzierten Leitlinie) Device-Code-Flows nach Möglichkeit zu blockieren; wenn es legitime Ausnahmefälle gibt, soll man die Policy fein granulieren, typischerweise anhand von Sign-in-Logs, Gerätelisten und Kontextparametern. Praktisch bedeutet das: Block-Entscheidungen nicht nur „immer“, sondern bevorzugt mit report-only-Tests starten, bevor man erzwingt. Ergänzend werden IP-basierte Location-Policies sowie Continuous Access Evaluation dort empfohlen, wo Supported Workloads vorhanden sind.
Für die Detektion nennt die Untersuchung konkrete Suchrichtungen in Entra-Sign-in-Logs: Auffällig sind Refresh-Token-Requests, die an den Office-Client-ID d3590ed6-52b3-4102-aeff-aad2292ab01c gekoppelt sind, insbesondere dann, wenn dieser Desktop-Client in der normalen Nutzung nicht präsent ist. Ebenso wichtig ist die Abfrage von Ursprungsmethoden: Bei Device-Code-bezogenen Sessions kann das initiale „Original transfer method“-Signal später konsistent bleiben, auch wenn das laufende Ereignis scheinbar andere Protokollspuren zeigt. Außerdem sollte man Endpoint-Persistenz ernst nehmen: Lexfo beschreibt, dass RMM-Tools zur Rückkehr in kompromittierte Umgebungen eingesetzt wurden, mit dem Beispiel eines XEOX-Agent-Binaries und passender Scheduled-Task-Namensmuster. Dabei ist klar: Sinkt die Infrastruktur der Domain, heißt das nicht, dass der Angriffsvektor verschwunden ist.
Regulatorisch und datenschutztechnisch ist der Fall ebenso relevant wie technisch: Entra- und Sign-in-Logs enthalten personenbezogene Metadaten (z. B. Kontenbeziehungen, Zeitpunkt, Herkunfts-IP). Wer Conditional-Access-Richtlinien, Token-bezogene Ereignisse und Endpoint-Telemetrie auswertet, muss diese Daten in Prozesse einbetten, die mit EU-Datenschutzanforderungen (z. B. Zweckbindung und angemessene Speicherdauer) konsistent sind. Gleichzeitig verbessern genau diese Logketten die Nachvollziehbarkeit, weil man die Drift zwischen „Ziel erfüllt MFA auf echter Microsoft-Seite“ und „Angreifer hat trotzdem Token-Zugriff“ sichtbar machen kann. Für die nächsten Monate erwartet Lexfo eine stärkere Verbreitung solcher Muster, weil öffentliche Repositorys, wiederverwendbare Token- und Cookie-Strategien sowie KI-„Glue“ die Produktionszeit reduzieren.
In Summe zeigt die Analyse eine unbequeme Wahrheit: Eine einzelne Härtungsmaßnahme reicht nicht, wenn ein Angreifer zwei unterschiedliche „Routen“ durch die Authentifizierung findet. Unternehmen sollten daher ihre Conditional-Access-Strategie als Sicherheitsarchitektur behandeln, nicht als einmaliges Setup. Konkret heißt das, Device-Code-Flow-Restriktionen und Token-Refresh-Entscheidungen zu testen, bevor Nutzerpasskeys „nur noch“ als Implementierungsdetail betrachtet werden. Zusätzlich lohnt sich ein operativer Blick auf Endpoint-Persistenzpfade und RMM-Anomalien, weil Tooling aus kompromittierten Hosts heraus oft schneller rotiert als Domains. Wer diese beiden Blöcke verbindet, reduziert nicht nur das Risiko der konkreten Kampagne, sondern senkt auch die Erfolgschance für künftige Evilginx-Varianten, die sich aus ähnlichen Bausteinen zusammensetzen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Wie Evilginx-Forks zwei Wege für Microsoft-365-Phishing ohne echte MFA-Umgehung eröffnen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Wie Evilginx-Forks zwei Wege für Microsoft-365-Phishing ohne echte MFA-Umgehung eröffnen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Wie Evilginx-Forks zwei Wege für Microsoft-365-Phishing ohne echte MFA-Umgehung eröffnen« bei Google Deutschland suchen, bei Bing oder Google News!