Eine neue Phishing-Kampagne mit Microsoft-Anmeldeseiten nutzt echte Microsoft-Seiten, um herkömmliche Phishing-Kontrollen zu umgehen. Anstatt Nutzer auf eine gefälschte Website zu leiten, bringen die Angreifer sie dazu, nach der Anmeldung einer schädlichen App Berechtigungen zu erteilen.
Forscher von Check Point stellten fest, dass die Kampagne überzeugende Microsoft-Teams-Köder mit Personalthemen verwendete. Sobald ein Opfer der App Berechtigungen erteilt, können Angreifer auf Microsoft-365-Dienste zugreifen, ohne das Passwort stehlen zu müssen.
Gefälschte Teams-E-Mails setzen Mitarbeiter unter Druck
Der Angriff beginnt mit einer E-Mail, die wie eine Teams-Benachrichtigung der Personalabteilung aussieht. Sie verweist auf Gehaltsabrechnungen, Vergütung, Zusatzleistungen und überfällige Mitarbeiteraufgaben, um ein Gefühl der Dringlichkeit zu erzeugen.
Empfänger könnten glauben, dass sie schnell eine interne Aktualisierung überprüfen müssen. Der Link in der E-Mail führt jedoch zu einer echten Microsoft-Anmeldeseite und nicht zu einer gefälschten Website.
Dieses Detail macht den Angriff schwieriger zu erkennen. Nutzer, die die Adressleiste überprüfen, sehen möglicherweise eine legitime Microsoft-Domain und gehen deshalb davon aus, dass die Nachricht sicher ist.
Echte Anmeldeseiten verbergen schädliche Berechtigungsanfragen
Phishing über Microsoft-Anmeldeseiten ist besonders effektiv, weil die eigentliche Authentifizierungsseite echt ist. Die Gefahr entsteht erst nach der Anmeldung, wenn die Kampagne den Nutzer auffordert, einer unbekannten Anwendung Berechtigungen zu erteilen.
Stimmt der Nutzer zu, kann die schädliche App Zugriff auf E-Mails, Teams, SharePoint, OneDrive und den Kalender erhalten. Die Angreifer müssen das Passwort des Opfers nicht stehlen, um Zugriff auf das Konto zu erlangen.
Diese Methode wird als Consent Phishing bezeichnet. Dabei wird der legitime OAuth-Berechtigungsprozess missbraucht, anstatt eine gefälschte Anmeldeseite oder gestohlene Zugangsdaten zu verwenden.
Laut Check Point verändert diese Technik das klassische Phishing-Modell. Jede Seite, die das Opfer sieht, kann authentisch sein, während die App, die Zugriff anfordert, böswillige Absichten verfolgt.
Kampagne zielte auf rund 120 Organisationen
Die Forscher identifizierten innerhalb von zwei Wochen mehr als 200 unterschiedliche Phishing-E-Mails. Die Nachrichten richteten sich an Nutzer in rund 120 Organisationen aus verschiedenen Ländern und Branchen.
Zu den betroffenen Bereichen gehörten Rechtsdienstleistungen und gemeinnützige Organisationen, wobei sich die Ziele hauptsächlich in Nordamerika befanden. Obwohl die beobachtete Kampagne inzwischen nicht mehr aktiv ist, warnt Check Point davor, dass sich die zugrunde liegende Technik zunehmend verbreitet.
Consent Phishing wird außerdem immer einfacher durchzuführen. Laut den Forschern hat sich die Methode von einem spezialisierten, manuell entwickelten Angriff zu einem Dienst entwickelt, den Kriminelle mieten und in großem Umfang einsetzen können.
Diese Entwicklung könnte es mehr Angreifern ermöglichen, vertrauenswürdige Cloud-Dienste und legitime Anmeldeseiten für ihre Kampagnen zu nutzen.
Auch intern wirkende E-Mails können gefährlich sein
Mitarbeiter sollten einer Nachricht nicht allein deshalb vertrauen, weil sie scheinbar von einer internen Adresse stammt. Angreifer können Anzeigenamen, Absenderinformationen und Versanddomains manipulieren, um Phishing-E-Mails legitim erscheinen zu lassen.
Bei dieser Kampagne deutete der Anzeigename auf eine Teams-Aktivität hin, während die Nachricht scheinbar von der eigenen E-Mail-Adresse des Empfängers stammen konnte. Solche Details können eine unerwartete Anfrage vertrauenswürdiger erscheinen lassen.
Nutzer sollten Links vor dem Anklicken überprüfen und das Ziel mit dem in der Nachricht genannten Dienst vergleichen. Außerdem sollten sie darauf achten, ob mehrere Schaltflächen in einer E-Mail zum selben Ziel führen.
Im Zweifelsfall sollten Mitarbeiter Teams oder eine andere Arbeitsanwendung direkt öffnen, anstatt einem Link in einer E-Mail zu folgen.
So lässt sich das Risiko durch Microsoft-Anmelde-Phishing reduzieren
Phishing über Microsoft-Anmeldeseiten lässt sich nicht allein dadurch verhindern, dass Mitarbeiter lernen, gefälschte Login-Seiten zu erkennen. Organisationen müssen zusätzlich App-Berechtigungen kontrollieren und neue Zustimmungsanfragen in ihrer Cloud-Umgebung überwachen.
Sicherheitsteams sollten einschränken, wer Drittanbieter-Apps genehmigen darf, und für sensible Berechtigungen eine Administratorfreigabe verlangen. Außerdem sollten sie OAuth-Berechtigungen überprüfen, unbekannte Anwendungen untersuchen und schädliche Genehmigungen schnell widerrufen.
Mitarbeiter sollten jede Berechtigungsanfrage sorgfältig lesen, bevor sie zustimmen. Eine App sollte keinen Zugriff auf E-Mails, Dateien oder Kalender verlangen, wenn dieser Zugriff nicht eindeutig zu ihrem Zweck passt.
Verdächtige Nachrichten sollten sofort gemeldet werden. Eine frühzeitige Meldung hilft Sicherheitsteams dabei, App-Berechtigungen zu widerrufen, betroffene Konten zu identifizieren und damit verbundene Kampagnenaktivitäten zu blockieren.
0 Kommentare zu „Angreifer nutzen echte Microsoft-Anmeldeseiten für Phishing-Kampagne“