Wenn das Federal büro Investigation (FBI) eine spezielle öffentliche Warnmeldung zu einem neuen Phishing-Kit veröffentlicht, sollte man darauf achten.
Die Behörde warnt nun vor „Kali365“, einer Phishing-as-a-Service-Plattform (PhaaS), die es selbst unerfahrenen Angreifern ermöglicht, Microsoft 365-Konten zu kapern, indem sie Zugriffstoken anstelle von Passwörtern stehlen.
Auch wenn sich die ersten Berichte auf Angriffe auf Unternehmen konzentrieren, funktioniert die zugrunde liegende Technik genauso gut bei einzelnen Microsoft 365-Nutzern, die dazu verleitet werden, einen kurzen Code auf einer echten Microsoft-Website einzugeben. Mit anderen Worten: Dies ist nicht nur ein Problem für Unternehmen oder IT-Abteilungen. Es könnte jeden betreffen, der über ein Outlook-, OneDrive- oder Microsoft 365-Abonnement verfügt.
Für Cyberkriminelle, die dieses Toolkit nutzen, bietet es drei klare Vorteile:
- Es umgeht die Multi-Faktor-Authentifizierung (MFA), indem es Zugriffstoken stiehlt; sobald das Token kompromittiert ist, nützen zusätzliche Codes oder Apps daher nichts mehr.
- Kali365 ermöglicht dauerhaften Zugriff. Die Angreifer können Outlook weiterhin nutzen. Teams und OneDrive ohne wiederholtes Anmelden, solange das gestohlene Aktualisierungstoken gültig bleibt.
- Es sind kaum technische Kenntnisse erforderlich. Cyberkriminelle können sich bei Kali365 anmelden und sofort groß angelegte Kampagnen zum Diebstahl von Zugangsdaten starten.
Wie sieht der Angriff aus?
Die Opfer erhalten eine Phishing-Nachricht, die so aussieht, als käme sie von einem Cloud-Dienst oder einem Kollaborationstool, beispielsweise einer Benachrichtigung über die Dokumentenfreigabe oder Teams Einladung. Die Nachricht enthält einen kurzen „Gerätecode“ und Anweisungen wie: „Gehen Sie zur Verifizierungsseite von Microsoft und geben Sie diesen Code ein, um das Dokument anzuzeigen.“
Betrug oder seriös? Scam Guard weiß es.
Im Gegensatz zu vielen Phishing-E-Mails leitet diese Sie auf eine echte Microsoft-URL weiter, die für die Anmeldung auf Geräten verwendet wird. Für den Nutzer sieht die Seite vertraut und vollkommen seriös aus, was das Misstrauen mindert.
Die Opfer sehen dann die üblichen Anmelde- und Einwilligungsbildschirme von Microsoft und glauben möglicherweise, dass sie lediglich eine normale Sicherheitsüberprüfung durchführen. Sie sehen zu keinem Zeitpunkt eine gefälschte Seite, geben ihr Passwort niemals in ein verdächtiges Formular ein und sehen möglicherweise sogar das Branding ihrer Organisation.
Was ihnen jedoch nicht bewusst ist: Sie haben dem Angreifer damit Zugang gewährt.
Sobald das Opfer die Anfrage genehmigt, erhält das Gerät des Angreifers OAuth- Zugriffs- und Aktualisierungstoken, die mit dem Microsoft 365-Konto des Opfers verknüpft sind. Mithilfe dieser Token speichert Microsoft, dass Sie bereits angemeldet sind, und sie können für den Zugriff auf Outlook, OneDrive usw. wiederverwendet werden. Teams und andere Microsoft-Dienste, ohne erneut ein Passwort eingeben zu müssen.
Mit gültigen Aktualisierungstoken können Angreifer langfristigen Zugriff aufrechterhalten, bis die Token widerrufen werden oder ablaufen, wobei sie sich oft in die normale Kontoaktivität einfügen.
Dieser Zugriff kann es Cyberkriminellen ermöglichen,
- Outlook-E-Mails lesen, einschließlich Nachrichten zur Passwortzurücksetzung
- Auf Dateien zugreifen, die in OneDrive oder SharePoint gespeichert sind
- Versenden Sie Phishing-E-Mails vom Konto des Opfers an Kollegen, Kunden, Freunde oder Familienangehörige
Wie Sie sich schützen können
Sobald sie sich Zugang zu Outlook verschafft haben, können Angreifer nicht nur Ihre Nachrichten lesen, sondern auch überzeugende neue Nachrichten von Ihrer Adresse aus versenden und dabei Ihre Identität nutzen, um weitere Konten und Kontakte zu kompromittieren.
Ein paar Tipps, wie man das vermeiden kann:
- Geben Sie niemals einen Code auf einer Microsoft-Anmeldeseite ein, nur weil Sie in einer E-Mail oder Nachricht dazu aufgefordert werden. Sie sollten dies nur tun, wenn Sie die Anmeldung selbst auf Ihrem eigenen Gerät initiiert haben.
- Nehmen Sie sich Zeit und lesen Sie die Anweisungen durch. Es kann teuer werden, wenn man Anmeldebestätigungen überfliegt, ohne sie sorgfältig zu lesen.
- Seien Sie misstrauisch gegenüber unerwarteten Dokumentenfreigaben. Teams Einladungen oder Anmeldeanfragen, selbst wenn sie über legitime Microsoft-Seiten erfolgen.
- Überprüfen Sie unter https://account.microsoft.com/devices/, welche Geräte bei Ihrem Konto angemeldet sind. Wenn Sie unbekannte Geräte oder Anmeldungen sehen, entfernen Sie diese, ändern Sie das Passwort Ihres Microsoft-Kontos und überprüfen Sie Ihre Sicherheitseinstellungen.
Profi-Tipp: Malwarebytes Scam Guard kann Ihnen helfen, herauszufinden, ob eine Nachricht ein Betrugsversuch ist.
Seien wir ehrlich, ein Inkognito-Fenster kann nur begrenzt viel leisten.
Sicherheitslücken, Darknet-Handel, Kreditkartenbetrug. Malwarebytes Identity Theft Protection überwacht all dies, benachrichtigt Sie umgehend und bietet eine Versicherung gegen Identitätsdiebstahl.
