Mirage2FA gehört zur Kategorie der Angriffe vom Typ Adversary-in-the-Middle (AiTM): Der Baukasten schaltet sich zwischen Nutzer und echten Anmeldedienst, greift Zugangsdaten samt Sitzungscookie ab und reicht die Zweifaktor-Abfrage transparent weiter. Für das angegriffene Konto sieht die Anmeldung regulär aus – die zusätzliche Authentifizierungsstufe verliert dadurch ihre Schutzwirkung.
Die von ANY.RUN veröffentlichten Zahlen zeichnen das Bild einer breit gestreuten, langlebigen Kampagne. Über den Zeitraum von 2024 bis 2026 ließ sich die Aktivität 4.532 unterschiedlichen Organisationsdomains zuordnen. Fast die Hälfte der adressierten Postfächer – 48 Prozent – stuft der Anbieter als potenziell kompromittiert ein. Mit 63,7 Prozent stellen US-Unternehmen die größte Gruppe der Opfer, gefolgt von Zielen in Indien, Singapur, Großbritannien, Kanada, Saudi-Arabien und Südafrika. Technologieunternehmen, produzierendes Gewerbe und Bildungseinrichtungen standen besonders häufig im Fokus.
Besonders schwer wiegt aus Sicht der Forscher der Diebstahl von Sitzungen. Mehr als 9.000 potenzielle Kompromittierungsereignisse dokumentierte ANY.RUN, darunter entwendete Cookies und Passwörter, missbrauchte SSO-Anmeldungen und umgangene 2FA-Prüfungen. Da die Angreifer über gekaperte Nutzersitzungen direkt in die Unternehmensumgebung oder in Microsoft-365-Dienste gelangen, greifen klassische Sofortmaßnahmen ins Leere.
Der Schaden bleibt selten auf das zuerst übernommene Konto beschränkt. Anschlusszugriffe, per Single Sign-on angebundene Anwendungen und interne Arbeitsabläufe vergrößern den Wirkungsradius – und treiben nach Einschätzung von ANY.RUN die Kosten der Eindämmung in die Höhe. Aus einer gekaperten, authentifizierten Microsoft-365-Sitzung heraus lassen sich Identitäten imitieren, Betrugsversuche starten und weitere Systeme kompromittieren.
Für die Abwehr empfiehlt ANY.RUN, Sitzungsdiebstahl konsequent als Identitätsvorfall zu behandeln: Betroffene Sitzungen und Token müssen widerrufen und sämtliche Aktivitäten der betroffenen Identität untersucht werden. Ein bloßes Zurücksetzen des Passworts genüge nicht, da die Angreifer über das gültige Sitzungscookie weiterhin Zugang behalten.
Auch bei der Erkennung raten die Analysten zu einem Blick über einzelne Indikatoren hinaus. Wiederkehrende Loader, kodierte Datenblöcke, auffällige WebSocket-Kommunikation und zusammenhängende Infrastruktur können Verbindungen zu der größeren Kampagne offenlegen. Weil die Angreifer ihre Infrastruktur laufend wechseln, sollen laufend aktualisierte Threat-Intelligence-Feeds die verhaltensbasierte Erkennung ergänzen; von verdächtigen URLs, Domains, IP-Adressen und Dateien aus lassen sich verwandte Systeme und Aktivitäten erschließen.
Die Einbindung von Sandbox-Analysen in bestehende Arbeitsabläufe soll SOC-Teams zudem in die Lage versetzen, verdächtige Inhalte gefahrlos zu prüfen und Phishing-Verhalten zu erkennen, bevor es zur Kontoübernahme kommt. Als Konsequenz aus den Ergebnissen nennt ANY.RUN drei Prioritäten für Unternehmen: phishing-resistente Authentifizierung, verhaltensbasierte Erkennung und Reaktionsprozesse, die eigens auf Sitzungsdiebstahl zugeschnitten sind.
Mirage2FA steht damit exemplarisch für eine Entwicklung, bei der Phishing über den reinen Zugangsdatenklau hinausgewachsen ist: Wer eine bestehende Sitzung übernimmt, benötigt weder Passwort noch zweiten Faktor, sondern bewegt sich unter der Identität eines vertrauenswürdigen Nutzers durch die Unternehmensumgebung.