Die Zustellwege unterscheiden sich je Kampagne. Beobachtet wurden unter anderem E-Mails mit echten Docusign-Umschlägen, die gefälschte Hinweise auf geteilte Dokumente enthielten. Teils führten die Klicks über legitime Anmelde-Endpunkte von Microsoft oder Google als Zwischenstationen, bevor die Opfer beim eigentlichen Kit landeten. „Die erste Anmeldung kann völlig normal gelingen, ohne Schadsoftware, ohne Exploit und ohne eine Häufung fehlgeschlagener Anmeldungen — das Anmeldeereignis kann also unauffällig wirken", sagt Gritzman gegenüber Dark Reading.
Dazu kommen eingebaute Ausweichtechniken. Nach Angaben von Island setzt der Dienst auf kurzlebige Kontextbindung und Laufzeitprüfungen, damit die Lockseiten für E-Mail-Scanner schwer erkennbar bleiben.
Technisch nutzt NovaCookies Methoden, die von AitM-Angriffen bekannt sind. Bemerkenswert ist für Gritzman die Kombination: vertrauenswürdige Dokumentenplattformen, legitime Weiterleitungen und Wegwerf-Infrastruktur, gepaart mit Echtzeit-Diebstahl von Microsoft-365-Sitzungen — und anschließend als komplette Operation an andere Angreifer verkauft. „Ein Adversary-in-the-Middle-Relay aufzubauen und zu betreiben ist Spezialarbeit", schreibt er im Bericht. „Wer es mietet, senkt diese Hürde und bekommt einen gepflegten Anmeldeablauf, Infrastrukturrotation und eine Bedienoberfläche."
Solche Plattformen nähmen die Notwendigkeit umfangreicher technischer Fähigkeiten oder Ressourcen für Phishing-Angriffe, merkt Krishna Vishnubhotla, Vice President Product Strategy beim Mobile-Security-Anbieter Zimperium, an. Gritzman relativiert allerdings: Der Erfolg hänge weiter vom Können des jeweiligen Akteurs ab. „Es senkt die Hürde deutlich, macht aber nicht jeden Käufer raffiniert und nicht jede Kampagne erfolgreich."
Der zweite neue Aspekt ist der Wechsel vom Passwort zum Sitzungscookie, den herkömmliche Phishing-as-a-Service-Pakete so nicht bieten, erklärt Abhishek Agrawal, Mitgründer und CEO von Material Security, gegenüber Dark Reading. „Hier wird die authentifizierte Sitzung selbst gestohlen. Das heißt: MFA, die Maßnahme, die die meisten Organisationen noch als letzte Instanz gegen Phishing betrachten, spielt überhaupt keine Rolle mehr." Sobald der Angreifer die Anmeldung weitergeleitet und die Sitzung erfasst habe, sei er im Konto — solange diese Sitzung gültig bleibe, und das könne lange sein.
Getrieben werde diese Verschiebung davon, dass Passkeys und WebAuthn den Diebstahl von Zugangsdaten erschwert hätten, so Agrawal. Angreifer hätten nach neuen Wegen suchen müssen; der Sitzungsdiebstahl sei dieser Weg, und dass Phishing-as-a-Service-Betreiber ihn zum Produkt machten, sei folgerichtig.
NovaCookies ist nicht das erste Kit, das MFA aushebelt — Fachleute sehen darin aber einen Vorboten immer ausgefeilterer Umgehungsmethoden. Agrawal hält das dominierende Modell der E-Mail-Sicherheit für überholt: Wer die schädliche Nachricht an der Vordertür stoppen wolle, gehe davon aus, dass dort der Kampf stattfinde. „Wenn der Angreifer mit einer gültigen Sitzung hereinspaziert, ist Perimeter-Erkennung irrelevant." Die Branche rede seit einem Jahrzehnt über Zero Trust, doch dieses Denken habe E-Mail und die dahinterliegenden Daten nie erreicht. Verteidigung müsse an jeder Stelle der Kette greifen, auch nach der Kompromittierung: Man müsse annehmen, dass Sitzungen gestohlen werden, und so bauen, dass eine gestohlene Sitzung dem Angreifer möglichst wenig bringt.
Gritzman setzt den Schwerpunkt anders und plädiert dafür, den Browser abzusichern, „wo der gesamte Ablauf zusammenläuft", also phishing-resistente Authentifizierung und Kontrollen in die laufende Browser-Sitzung zu verlagern. Konkret empfiehlt er FIDO-basierte Verfahren, beginnend bei privilegierten und besonders kritischen Konten, sowie verwaltete Geräte, wo praktikabel. Erkennen lasse sich ein Angriff, indem man den Browser-Verlauf mit Gerätevertrauen, Token-Anomalien und Aktivitäten nach der Authentifizierung korreliert. Gelingt ein Relay dennoch, sollten Organisationen sich nicht auf Passwort-Rücksetzungen beschränken, sondern aktive Sitzungen und Refresh-Token widerrufen.