Was ist passiert?
Ein Angreifer, der eine aktive Phishing-Operation gegen Microsoft 365 betrieb, hinterließ einen Python-Webserver ungesichert auf einem öffentlichen Port mit aktiviertem Directory Listing. Der Befehl python3 -m http.server 8080 war noch in der lesbaren .bash_history-Datei dokumentiert. Diese kritische Fehlkonfiguration ermöglichte es der französischen Sicherheitsfirma Lexfo, das gesamte Toolkit des Angreifers zu extrahieren und darüber hinaus zwei weitere Evilginx-Phishing-Operationen desselben Akteurs aufzudecken.
Hintergrund & Bedeutung
Evilginx ist ein ausgefeiltes Phishing-Framework, das Man-in-the-Middle-Angriffe durchführt und selbst Multi-Faktor-Authentifizierung (MFA) umgehen kann. Microsoft 365 ist ein häufiges Angriffsziel, da Unternehmensanmeldedaten wertvoll sind. Diese Entdeckung zeigt ein fundamentales Problem: Selbst erfahrene Angreifer machen kritische Operationssicherheitsfehler. Der bloße Zugang zu den Toolkit-Dateien ermöglichte es Lexfo, die Infrastruktur und Methodik des Angreifers vollständig nachzuvollziehen und zusätzliche Kampagnen zu identifizieren.
Empfehlungen für IT-Teams
- Serverkonfiguration überprüfen: Deaktivieren Sie Directory Listing auf allen Webservern und beschränken Sie öffentliche Ports auf notwendige Services
- Bash-History schützen: Sichern Sie historische Befehle und entfernen Sie regelmäßig sensible Kommandos
- MFA-Strategien stärken: Implementieren Sie resistente MFA-Methoden und Zero-Trust-Architekturen
- Threat Intelligence nutzen: Überwachen Sie Indikatoren bekannter Phishing-Toolkits
Fazit
Diese Sicherheitsverletzung unterstreicht, dass Operationssicherheit entscheidend ist. Eine einzelne Fehlkonfiguration kompromittierte drei Phishing-Operationen. Organisationen sollten ihre Server-Hardening-Praktiken verstärken und kontinuierliche Sicherheitsaudits durchführen.
Quelle: Original Artikel