Greatness wird über einen öffentlich erreichbaren Telegram-Kanal namens @GreatnessPage vermarktet, der laut Bericht mehr als 3.250 Abonnenten hat und als zentrale Anlaufstelle für Ankündigungen und Funktionsupdates dient. Der Zugang erfolgt im Abonnement: Der Einstiegspreis liegt bei 289 US-Dollar pro Monat, nachdem im Januar 2024 noch 120 US-Dollar pro Monat genannt worden waren. Registrierung, Lizenzbereitstellung und Support laufen über den Telegram-Bot @gr8managerbot; Lizenzen lassen sich über das Konto @greatnessmgr erwerben oder verlängern.
Nach erfolgreicher Registrierung erhalten Kunden Zugriff auf ein Betreiberpanel mit Kampagnenstatistiken, Domain-Konfiguration, CAPTCHA-Auswahl und mehr als 11 herunterladbaren Lockvorlagen, darunter Voicemail-, Dokumentfreigabe- und QR-Code-Szenarien. ZeroBEC zufolge gehören zu den beobachteten Vorlagen AudioLogin, ChatAssistance, WindowsExplorer, Voicemail, OneDrive, QR und VideoPlayer sowie weitere Varianten. Jede dieser Vorlagen enthält fertige HTML-Dateien, PDF-Weiterleiter, SVG-Dateien und Briefvorlagen, was die Hürde für Betreiber deutlich senkt.
Wer auf einen präparierten Link in einer Phishing-Mail klickt, durchläuft laut ZeroBEC eine Redirect-Kette mit fünf Stufen. Diese setzt auf Schutz vor Analyse, Fingerprinting des User-Agent und eine CAPTCHA-Schranke, bevor das Opfer zur eigentlichen Zielseite gelangt. Dort endet der Ablauf entweder an einem AiTM-Proxy oder an einem Device-Code-Endpunkt.
Gerade diese Device-Code-Variante ist die jüngste Erweiterung von Greatness. Sie erlaubt es Angreifern, den OAuth-Ablauf zur Geräteautorisierung zu missbrauchen, um unbemerkt Tokens zu erhalten. Trend Micro beschrieb kürzlich, dass AiTM-Phishing zunächst den großen Wandel markiert habe: Eine Proxy-Seite sitzt dabei zwischen Nutzer und Microsoft und leitet die Anmeldung in Echtzeit weiter, um das Sitzungs-Cookie abzugreifen. Device-Code-Phishing sei der nächste Schritt und für Angreifer in mancher Hinsicht sauberer, weil keine gefälschte Login-Seite gebaut oder blockiert werden müsse und die Passwortseite tatsächlich von Microsoft stamme.
In jüngsten Kampagnen mit dem Greatness-Kit kamen laut ZeroBEC gefälschte RingCentral-Voicemail-Köder zum Einsatz. Diese landeten trotz fehlgeschlagener SPF-, DKIM- und DMARC-Prüfungen in den Postfächern der Opfer, weil sie Ausschlüsse für sichere Absender ausnutzten. Entscheidend sei dabei, dass das Ziel tatsächlich RingCentral-Kunde ist. Die Mails gäben sich also nicht nur als RingCentral aus, sondern missbrauchten die bestehende Vertrauenskonfiguration.
Die Analyse der Aktivitäten nach einer Kompromittierung zeigt laut ZeroBEC, dass abgegriffene Authentifizierungs-Tokens innerhalb weniger Minuten über dedizierte Proxy-Infrastruktur wiederverwendet werden. Danach werden verschiedene Microsoft-365-Ressourcen des Opfers über die Microsoft Graph API aufgelistet, darunter Outlook, Teams, SharePoint, Exchange, OneDrive, Kontakte, Kalender und weitere registrierte Anwendungen. ZeroBEC beobachtete zudem eine der AiTM-Proxy-IP-Adressen, 38.248.95[.]214, noch mehr als zwei Wochen nach der ursprünglichen Kampagne bei der Authentifizierung gegen ein Microsoft-365-Konto eines Opfers.
Microsoft hat im Zusammenhang mit Device-Code-Phishing außerdem weitere Schritte nach der Kompromittierung protokolliert: Angreifer registrieren demnach innerhalb weniger Minuten neue Geräte, um ein Primary Refresh Token für langfristige Persistenz zu erzeugen. Teilweise warten sie dann mehrere Stunden, bevor sie bösartige Posteingangsregeln einrichten oder sensible E-Mail-Daten exfiltrieren.
Greatness ist damit nicht allein. In den vergangenen Monaten kombinierten Kampagnen laut Bericht auch die Arbeitsweise des Tycoon-2FA-Kits mit OAuth-Device-Code-Autorisierungsabläufen, obwohl eine weltweite Strafverfolgungsoperation 330 mit dem Phishing-Dienst verbundene Domains gestört hatte. Okta erklärte bereits im Mai 2026, dass solche Device-Code-Phishing-Seiten CAPTCHAs einsetzen und mehrstufige Redirect-Ketten über legitime Infrastruktur-Anbieter nutzen, bevor die eigentliche Phishing-Seite erscheint. LevelBlue rät, diese Authentifizierungsmethode global über Richtlinien für bedingten Zugriff zu blockieren; wenn der Ablauf für sehr spezielle Einsatzzwecke nötig ist, sollten nur diese Nutzer oder Ressourcen ausdrücklich ausgenommen und die Nutzung fortlaufend überprüft werden.