Sicherheitsforscher haben eine OAuth-Angriffstechnik zur dauerhaften Zugriffserhaltung identifiziert, die es Hackern ermöglicht, langfristigen Zugriff auf kompromittierte Konten zu behalten.
Die Entdeckung offenbart eine schwerwiegende Sicherheitslücke im Identitätsmanagement von Unternehmen.
Analysten von Proofpoint haben herausgefunden, dass Angreifer OAuth missbrauchen, um bösartige interne Apps innerhalb von Unternehmensumgebungen zu registrieren.
Diese Anwendungen erhalten vertrauenswürdige Berechtigungen und überstehen gängige Wiederherstellungsmaßnahmen.
Selbst wenn Benutzer Passwörter zurücksetzen oder Mehrfaktor-Authentifizierung (MFA) aktivieren, können Angreifer weiterhin auf E-Mails und Dateien zugreifen.
So funktioniert der OAuth-Angriff
Die Angreifer verschaffen sich zunächst Zugriff durch Phishing oder Token-Diebstahl.
Anschließend erstellen oder kompromittieren sie eine interne OAuth-Anwendung im Microsoft 365– oder Google Workspace-Verzeichnis der Organisation.
Die App erhält weitreichende Berechtigungen wie Mail.Read oder offline_access, die langlebige Zugriffstoken erzeugen.
Diese Token bleiben selbst nach Passwortänderungen gültig.
Da sich die App innerhalb der Unternehmensumgebung befindet, wird sie von den meisten Verteidigern als sicher eingestuft.
Dieses falsche Vertrauen ermöglicht es den Angreifern, Posteingänge, Kalender und freigegebene Dokumente über Wochen oder Monate unbemerkt zu überwachen.
Das Modell der OAuth-Angriffspersistenz verwandelt legitime Infrastruktur effektiv in eine verdeckte Hintertür.
Warum dieser Angriff so gefährlich ist
Im Gegensatz zu herkömmlichen Zugangsdaten laufen OAuth-Token selten schnell ab.
Einige bleiben über Jahre hinweg gültig, wenn sie nicht manuell widerrufen werden.
Das macht die OAuth-Angriffspersistenz ideal für langfristige Spionage oder Datendiebstahl.
Angreifer können unbemerkt sensible Dokumente exfiltrieren, E-Mails weiterleiten oder MFA-Konfigurationen zurücksetzen – ohne Warnungen auszulösen.
Traditionelle Maßnahmen wie Passwortzurücksetzungen oder Kontodeaktivierungen stoppen sie nicht.
Wie sich Organisationen schützen können
Sicherheitsexperten empfehlen proaktive Überwachung und strikte Kontrolle von Anwendungen:
- Führen Sie wöchentliche Audits interner und externer OAuth-Apps durch.
- Widerrufen und löschen Sie unbekannte oder verdächtige App-Registrierungen.
- Erzwingen Sie kurze Token-Gültigkeitszeiträume und obligatorischen Widerruf.
- Beschränken Sie, wer innerhalb der Organisation OAuth-Apps registrieren darf.
- Schulen Sie Administratoren in Bezug auf OAuth-Persistenz und identitätsbasierte Bedrohungen.
Fazit
Die Technik der OAuth-Angriffspersistenz verändert die Sichtweise auf Kontosicherheit grundlegend.
Passwörter und MFA reichen nicht mehr aus, um einen Sicherheitsvorfall zu beenden.
Organisationen müssen jede App-Verbindung überwachen, Token-Berechtigungen prüfen und sofortige Widerrufe erzwingen.
Nur durch die Kontrolle des OAuth-Zugriffs können Unternehmen verhindern, dass Angreifer versteckte Zugriffspunkte in ihren Netzwerken behalten.
0 Kommentare zu „OAuth-Angriffspersistenz – Hacker behalten Zugriff efter Zurücksetzen von Passwörtern“