Was ist passiert?
Das FBI warnt vor der Phishing-as-a-Service-Plattform Kali365, die gezielt Microsoft 365-Konten kompromittiert. Die Angreifer missbrauchen die OAuth-Device-Code-Authentifizierung, um Session-Token zu stehlen und Multi-Faktor-Authentifizierung (MFA) zu umgehen. Diese Methode ermöglicht es Cyberkriminellen, ohne das eigentliche Passwort Zugriff auf geschützte Konten zu erlangen.
Hintergrund & Bedeutung
Kali365 funktioniert als professionalisierter Phishing-Dienst, der Angreifern auch ohne technische Expertise ermöglicht, große Kampagnen durchzuführen. Das OAuth-Device-Code-Flow-Verfahren wird normalerweise für die sichere Authentifizierung bei Geräten ohne Browser verwendet. Kriminelle nutzen diese Vertrauensmechanismus jedoch aus, indem sie Opfer zur Authentifizierung verleiten. Die gestohlenen Token ermöglichen dann direkten Zugriff auf E-Mails, Cloud-Speicher und weitere kritische Unternehmensressourcen – unabhängig von der MFA-Aktivierung.
Für Unternehmen stellt dies eine erhebliche Bedrohung dar, da der Angriff vergleichsweise einfach auszuführen ist und hohe Erfolgsquoten aufweist.
Empfehlungen für IT-Teams
- OAuth-Berechtigungen prüfen: Regelmäßig autorisierte Anwendungen und Tokens in Microsoft 365 überprüfen und verdächtige Einträge entfernen
- Benutlersensibilisierung: Schulungen zu OAuth-Phishing durchführen; Mitarbeiter sollten skeptisch gegenüber unerwarteten Authentifizierungsaufforderungen sein
- Conditional Access erweitern: Richtlinien implementieren, die verdächtige Token-Anfragen blockieren
- Anomalien überwachen: Login-Aktivitäten und Token-Verwendung kontinuierlich monitoren
- Gerätecode-Flow kontrollieren: Falls nicht erforderlich, OAuth-Device-Code-Authentifizierung einschränken
Fazit
Kali365 stellt eine moderne Bedrohung dar, die traditionelle MFA-Schutzmaßnahmen gezielt umgeht. Unternehmen sollten ihre OAuth-Sicherheit überprüfen und mehrschichtige Schutzmaßnahmen implementieren.
Quelle: Original Artikel