Was ist passiert?
Die neue Phishing-as-a-Service-Operation „Forg365″ zielt gezielt auf Microsoft 365-Konten ab. Die Angreifer nutzen eine gefährliche Kombination aus Device-Code-Phishing, Adversary-in-the-Middle-Attacken (AitM), Anti-Bot-Umgehungstechniken und KI-gestützten Phishing-Ködern. Das System wird über Telegram für 400 Dollar pro Monat oder 3.800 Dollar pro Jahr vertrieben und ermöglicht Post-Compromise-Mailbox-Operationen.
Hintergrund & Bedeutung
Forg365 stellt eine erhebliche Bedrohung für Microsoft 365-Umgebungen dar, da die Angreifer mehrschichtige Techniken kombinieren. Device-Code-Phishing umgeht traditionelle Multi-Faktor-Authentifizierung, während AitM-Session-Theft es ermöglicht, legitime Sitzungen zu kapern. Die KI-Unterstützung macht Phishing-E-Mails überzeugender und schwerer zu erkennen. Mit dieser Methode können Angreifer nicht nur initial in Konten eindringen, sondern auch Mailbox-Zugriff für weitere Angriffe etablieren. Die Verfügbarkeit als bezahlter Service senkt die Hürden für Cyberkriminelle erheblich.
Empfehlungen für IT-Teams
- Implementierung von bedingtem Zugriff (Conditional Access) in Azure AD mit strengeren Authentifizierungsanforderungen
- Aktivierung von Microsoft Defender for Cloud Apps zur Erkennung abnormaler Sitzungsaktivitäten
- Schulung von Mitarbeitern zu Device-Code-Phishing und unerwarteten Authentifizierungsaufforderungen
- Überwachung von Mailbox-Weiterleitungsregeln und verdächtigen Login-Versuchen
- Einsatz von Zero-Trust-Prinzipien mit kontinuierlicher Verifikation
- Regelmäßige Überprüfung von OAuth-Anwendungen und Berechtigungen
Fazit
Forg365 demonstriert die wachsende Professionalisierung von Phishing-Angriffen. Organisationen müssen ihre Verteidigungsmechanismen um moderne Zero-Trust- und bedingten Zugriff-Strategien erweitern, um diese mehrstufigen Angriffe effektiv zu blockieren.
Quelle: Original Artikel