Microsoft-Cloud-Konten durch Identitätsbetrug und Passkey-Phishing gestohlen

Microsoft-Cloud-Konten wurden im Rahmen einer äußerst komplexen Kampagne gestohlen, bei der Identitätsbetrug und Passkey-Phishing zum Einsatz kamen

Dank Passkeys ist der Diebstahl von Passwörtern überflüssig geworden. Um diese Entwicklung zu umgehen, versuchen Hacker nun, Nutzer dazu zu bewegen, sich auf von Angreifern kontrollierten Computern anzumelden. Dies geht aus einem neuen Bericht von Microsoft hervor, dem zufolge derzeit eine äußerst ausgeklügelte Kampagne stattfinde, deren Ziel es sei, die Cloud-Konten von Nutzern zu kompromittieren und so viele sensible Dateien wie möglich zu stehlen.

Der Angriff beginnt schon viel früher, als es dem Opfer bewusst wird. Dem Angriff gehen umfangreiche Planungen und gründliche Recherchen voraus, in deren Verlauf die Angreifer so viele Informationen wie möglich über ihr Ziel sammeln. Dabei ist es entscheidend, den Arbeitsplatz, die Position und die private Telefonnummer des Opfers zu kennen.

Sobald alle Voraussetzungen erfüllt sind, beginnt der Angriff mit einem Telefonanruf – den Opfern wird mitgeteilt, sie sprächen mit dem IT-Helpdesk ihres Unternehmens und müssten ihren Passkey (oder MFA, je nach Konfiguration) unverzüglich aktualisieren, um Betriebsstörungen zu vermeiden.

Folge-SMS

Im Anschluss an den Anruf erhalten die Opfer eine SMS mit einem Link, über den sie ihre Sicherheitskonfiguration aktualisieren können. Auf den ersten Blick sieht die Website wie die legitime Anmeldeseite von Microsoft aus. In Wirklichkeit handelt es sich jedoch um eine vorgefertigte, bösartige Webseite, die "Adversary-in-the-Middle"-Techniken (AitM) nutzt, um entweder im Namen des Angreifers Zugriff zu erlangen oder Anmeldedaten abzufangen.

Der Angreifer scheint viel Zeit in die Recherche vor dem Angriff zu investieren und sammelt wahrscheinlich Informationen über Mitarbeiter und die Organisationsstruktur aus öffentlichen Quellen wie sozialen Netzwerken und Plattformen für berufliche Profile.

In einer geringeren Anzahl von Fällen nutzen die Angreifer bereits kompromittierte Konten aus, um ihre Reichweite zu vergrößern, indem sie ähnliche Nachrichten zum Thema Passwörter über Microsoft Teams versenden.

Die Kampagne läuft offenbar seit mindestens Mai dieses Jahres, so Microsoft, ohne jedoch die Anzahl der Opfer zu nennen. Ihr Ziel scheint es zu sein, Dateien aus SharePoint und OneDrive sowie E-Mail-Daten aus Microsoft Exchange Online zu entwenden. Microsoft ordnete diese Kampagne zudem keinem bestimmten Angreifer zu, wies jedoch darauf hin, dass es zahlreiche Gruppen gibt, die solche oder ähnliche Kampagnen durchführen, darunter Cordial Spider, Storm-3121 und andere.