Was ist passiert?
Ein neuer Phishing-Service namens „NovaCookies“ bietet Cyberkriminellen für nur 320 US-Dollar monatlich Zugang zu einem Adversary-in-the-Middle (AitM) Kit an. Dieses Tool ermöglicht es Angreifern, Microsoft 365-Sessions zu stehlen und damit nicht nur Anmeldedaten, sondern komplette authentifizierte Sitzungen zu kompromittieren. Das Kit senkt die technische Einstiegshürde für Attacken erheblich.
Hintergrund & Bedeutung
Im Gegensatz zu traditionellen Phishing-Angriffen, die nur Benutzernamen und Passwörter abfangen, funktionieren AitM-Attacken als Man-in-the-Middle zwischen Benutzer und Dienst. NovaCookies ermöglicht es, Session-Cookies zu stehlen – diese authentifizieren den Nutzer gegenüber Microsoft 365, ohne dass Zwei-Faktor-Authentifizierung (2FA) umgangen werden muss. Damit werden selbst Organisationen mit modernen Sicherheitsmaßnahmen anfällig. Die erschwingliche Preisgestaltung demokratisiert diese hochgefährliche Angriffsmethode für eine breite Tätergruppe.
Empfehlungen für IT-Teams
Sofortmaßnahmen: Implementieren Sie Continuous Access Evaluation (CAE) und riskbasierte Authentifizierung. Überwachen Sie Anmeldeversuche auf ungewöhnliche geografische Standorte und Geräte. Aktivieren Sie Token-Replay-Schutz in Azure AD.
Mittelfristig: Schulen Sie Mitarbeiter intensiv in Phishing-Erkennung. Deployen Sie Passwordless Authentication (Windows Hello, FIDO2). Nutzen Sie Conditional Access Policies für kritische Applikationen. Implementieren Sie Zero Trust mit konsequenter Geräteverifizierung.
Technisch: Setzen Sie auf Threat Intelligence zur Erkennung von Phishing-Infrastrukturen. Konfigurieren Sie Anomalie-Erkennung für Session-Anomalien.
Fazit
NovaCookies stellt eine erhebliche Bedrohung dar, da AitM-Attacken herkömmliche Multi-Factor-Authentication teilweise umgehen. Organisationen müssen neben technischen Kontrollen auf eine mehrschichtige Abwehrstrategie setzen, die Zero Trust-Prinzipien konsequent umsetzt.
Quelle: Original Artikel