Was ist passiert?
Das „NovaCookies“-Phishing-Kit wird als Adversary-in-the-Middle (AitM)-Service für monatlich 320 US-Dollar im Darknet angeboten. Das Toolkit ermöglicht es Angreifern, Microsoft 365-Sessions zu kapern und Session-Cookies zu stehlen – nicht nur Benutzerdaten. Dies senkt die Einstiegshürde für cyberkriminelle Aktivitäten erheblich und macht solche Angriffe auch für weniger technisch versierte Akteure zugänglich.
Hintergrund & Bedeutung
AitM-Phishing-Services sind eine wachsende Bedrohung für Unternehmensumgebungen. Im Gegensatz zu klassischen Phishing-Angriffen, die nur Anmeldedaten abfangen, erlaubt NovaCookies den Diebstahl von Session-Cookies. Dies ermöglicht es Angreifern, die Multi-Faktor-Authentifizierung (MFA) zu umgehen und Zugriff auf Microsoft 365-Konten zu erlangen – ohne das Passwort zu ändern. Die Gefahr liegt in der Verdecktheit: Benutzer bemerken den Missbrauch oft nicht sofort, da ihre Anmeldedaten unverändert bleiben.
Empfehlungen für IT-Teams
Sofortmaßnahmen:
- Implementieren Sie Conditional Access-Richtlinien in Microsoft 365, um verdächtige Login-Aktivitäten zu erkennen
- Aktivieren Sie Token Binding und Browser-basierte Sicherheitsvorkehrungen
- Führen Sie Awareness-Training durch, um Phishing-Versuche zu identifizieren
- Überwachen Sie Anmeldeprotokolle auf ungewöhnliche geografische Standorte
- Implementieren Sie Hardware-Security-Keys als MFA-Alternative
- Nutzen Sie FIDO2-Standards für robustere Authentifizierung
Fazit
NovaCookies verdeutlicht die Evolution von Phishing-Techniken und die Notwendigkeit einer Zero-Trust-Architektur. Organisationen müssen ihre IAM-Strategien überprüfen und mehrschichtige Schutzmaßnahmen implementieren, um Session-Hijacking-Angriffe effektiv zu bekämpfen.
Quelle: Original Artikel