Was ist passiert?
Die neu entdeckten Angriffsmethoden ConsentFix und ClickFix ermöglichen es Angreifern, Microsoft 365-Konten in wenigen Sekunden zu kompromittieren. Diese Attacken nutzen gefälschte Consent-Prompts und manipulierte OAuth-Flows, um Authentifizierungstoken zu stehlen – selbst wenn Multi-Faktor-Authentifizierung (MFA) aktiviert ist. Die Angreifer umgehen dabei die Sicherheitsmechanismen durch Social Engineering und technische Exploits in der OAuth-Implementierung.
Hintergrund & Bedeutung
Die Angriffe funktionieren, indem Benutzer auf präparierte Links klicken, die authentisch aussehende Microsoft-Login-Seiten oder Consent-Dialoge darstellen. Über diese Fake-Prompts werden gültige OAuth-Tokens abgegriffen. ConsentFix nutzt dabei manipulierte Consent-Screens, während ClickFix direktes Phishing kombiniert mit Token-Diebstahl einsetzt. Dies stellt eine erhebliche Gefahr dar, da herkömmliche MFA-Implementierungen nicht ausreichend schützen, wenn bereits gültige Tokens in den Händen von Angreifern sind. Besonders kritisch ist der Einsatz in gezielten Kampagnen gegen Unternehmen mit sensitiven Daten in der Cloud.
Empfehlungen für IT-Teams
- Conditional Access implementieren: Nutzen Sie Microsoft Entra ID Conditional Access-Richtlinien zur Erkennung verdächtiger Anmeldungen
- App-Berechtigungen überwachen: Prüfen Sie regelmäßig, welche Third-Party-Anwendungen Zugriff auf Microsoft 365-Accounts haben
- Benutzer-Schulung: Sensibilisieren Sie Mitarbeiter für Phishing-Risiken und verdächtige Consent-Prompts
- Token-Sicherheit: Implementieren Sie strikte Richtlinien für Token-Lebenszyklen und Refresh-Token-Handling
- Anomalieerkennung: Nutzen Sie Advanced Threat Protection und User and Entity Behavior Analytics (UEBA)
Fazit
ConsentFix und ClickFix demonstrieren, dass moderne Cloud-Sicherheit über reine MFA hinausgehen muss. Eine Zero-Trust-Strategie mit kontinuierlicher Überwachung und adaptiven Zugriffskontrolllen ist essentiell, um solche Angriffe effektiv abzuwehren.
Quelle: Original Artikel