Alles rund um Windows

Hacker nutzen HTTP-Client-Tools zur Übernahme von Microsoft 365-Konten

Hacker setzen zunehmend HTTP-Client-Tools ein, um ausgeklügelte Angriffe auf Microsoft 365-Umgebungen zu starten.

Unglaubliche 78 % der Microsoft 365-Tenants wurden mindestens einmal Ziel solcher Angriffe, was die sich weiterentwickelnden Taktiken der Täter verdeutlicht.

HTTP-Client-Tools sind Softwareanwendungen oder Bibliotheken, die es Benutzern ermöglichen, HTTP-Anfragen zu senden und Antworten von Webservern zu erhalten.

Diese Tools ermöglichen die Anpassung von Anfragemethoden (z. B. GET, POST, PUT, DELETE), Headern und Nutzdaten, wodurch sie sowohl für legitime als auch für bösartige Zwecke eingesetzt werden können.

Im Februar 2018 identifizierten die Forscher von Proofpoint eine weit verbreitete Kampagne, die eine ungewöhnliche OkHttp-Client-Version ("okhttp/3.2.0") verwendet, um Microsoft 365-Umgebungen anzugreifen.

Die Forscher von Proofpoint stellten fest, dass sich diese Kampagne, die fast vier Jahre andauerte, auf hochrangige Ziele wie Führungskräfte und privilegierte Benutzer konzentrierte.
Die Angreifer nutzten Methoden der Benutzererfassung, um gültige E-Mail-Adressen zu identifizieren, bevor sie andere Bedrohungsvektoren wie Spear-Phishing und Passwort-Spraying einsetzten.
Seit 2018 sind HTTP-Clients nach wie vor ein beliebtes Mittel für ATO-Angriffe (Account Takeover). Anfang 2024 dominierten OkHttp-Varianten, doch ab März 2024 gewann eine breitere Palette von HTTP-Clients an Bedeutung.

Eine kürzlich durchgeführte Kampagne, bei der der HTTP-Client Axios zum Einsatz kam, erzielte eine hohe Erfolgsquote und kompromittierte 43 % der angegriffenen Benutzerkonten. Axios ermöglicht in Verbindung mit Adversary-in-the-Middle (AiTM)-Plattformen wie Evilginx den Diebstahl von Anmeldedaten, MFA-Token und Sitzungs-Token.

Angriffsweg

Phishing per E-Mail ermöglichen den Diebstahl von Anmeldeinformationen, indem sie Reverse-Proxy-Toolkits nutzen, die MFA-Token stehlen können. Dies wiederum erleichtert die Übernahme von Konten durch die Verwendung gestohlener Anmeldeinformationen mit Tools wie Axios, um Mailbox-Regeln anzugreifen, Daten zu exfiltrieren und OAuth-Anwendungen zu erstellen.
Sobald der Zugriff erfolgt ist, werden sensible Daten gestohlen, Zugriffsberechtigungen geändert und sichere Freigabelinks für den zukünftigen unbefugten Zugriff erstellt.

Zusätzlich zu Axios haben Angreifer ihren Ansatz durch den Einsatz anderer HTTP-Clients diversifiziert.

Node Fetch zum Beispiel, das den Übergang von nativem HTTP zur Fetch-API in Node.js vereinfacht, wurde zur Automatisierung von Angriffen in großem Umfang verwendet und protokollierte über 13 Millionen Anmeldeversuche mit durchschnittlich 66.000 Versuchen pro Tag, obwohl es keine Axios-ähnlichen Abfangfunktionen hat.

In ähnlicher Weise beobachtete Proofpoint im August 2024, dass Angreifer begannen, Go Resty - einen Go HTTP/REST-Client - für Brute-Force-Angriffe zu verwenden; ein Trend, der zwar im Oktober wieder aufhörte, aber die sich entwickelnde Natur der von den Bedrohungsakteuren verwendeten Tools verdeutlichte.

Um die Erkennung und die allgemeine Sicherheit zu verbessern, wird empfohlen, Benutzeragenten zu überwachen, indem beobachtete Daten mit zusätzlichen Indikatoren und Bedrohungsdaten kombiniert werden, um eine genauere Erkennung zu ermöglichen.

Darüber hinaus ist es von entscheidender Bedeutung, die Sicherheit durch die Implementierung einer Multi-Faktor-Authentifizierung (MFA) für alle Benutzer zu erhöhen. Regelmäßige Aktualisierungen der gesamten Software, einschließlich HTTP-Clients, tragen dazu bei, dass die Systeme vor den neuesten Schwachstellen geschützt bleiben.

Indikatoren für eine Kompromittierung

Zu den wichtigsten HTTP-Client-Versionen, die bei diesen Angriffen verwendet werden, gehören:

  • OkHttp: Versionen wie okhttp/3.14.7, okhttp/3.14.9, okhttp/4.11.0 und okhttp/4.12.0.
  • Python-Anfragen: Versionen wie python-requests/2.27.1 bis python-requests/2.32.3.
  • Axios: Versionen wie axios/0.21.1, axios/0.21.4, axios/1.4.0, und axios/1.7.5.
  • Node Fetch: Wird für Passwort-Spraying-Angriffe verwendet.
  • Go Resty: Version go-resty/2.14.0.