Was ist passiert?
Das Phishing-Kit „Kali365″ zielt gezielt auf US-amerikanische Unternehmen ab und missbraucht Microsofts legitimes Authentifizierungssystem. Angreifer locken Mitarbeiter auf gefälschte Login-Seiten und verwenden dabei manipulierte Device-Codes, die Opfer auf Microsofts echtem Authentifizierungsportal genehmigen. Nach erfolgreicher Authentifizierung erhalten die Kriminellen gültige Access- und Refresh-Token, die ihnen persistenten Zugriff auf E-Mail, Cloud-Dokumente und weitere Unternehmensressourcen verschaffen.
Hintergrund & Bedeutung
Dieses Angriffsszenario stellt eine erhebliche Bedrohung dar, da es ein Microsoft-internes Verfahren (Device Authorization Grant Flow) gegen die Benutzer wendet. Die Angreifer umgehen damit traditionelle Zwei-Faktor-Authentifizierung und verwirren Nutzer durch die Verwendung echter Microsoft-Oberflächen. Die dabei erhaltenen Token ermöglichen längerfristigen Zugriff ohne wiederkehrende Authentifizierung. Dies eröffnet Wege für Datendiebstahl, Finanzbetrüge und lateral movement im Unternehmens-Netzwerk.
Empfehlungen fuer IT-Teams
- Schulung: Sensibilisieren Sie Mitarbeiter für Phishing-Kampagnen, die auf Authentifizierungsseiten abzielen
- Conditional Access: Implementieren Sie Microsoft Conditional Access-Richtlinien zur Riskikoerkennung anomaler Login-Muster
- Token-Überwachung: Aktivieren Sie Logging für Device Authorization Grants und unerwartete Token-Ausstellungen
- Zero Trust: Verifizieren Sie Geräte und Benutzer kontinuierlich, nicht nur bei initialem Login
- Anomalieerkennung: Nutzen Sie Azure AD-Bedrohungserkennung und SIEM-Integration
Fazit
Kali365 demonstriert, wie Angreifer legitime Cloud-Authentifizierungsmechanismen zu Waffen machen können. Eine ganzheitliche Zero-Trust-Strategie mit kontinuierlicher Überwachung ist entscheidend, um solche Angriffe zu erkennen und einzudämmen.
Quelle: Original Artikel