Der Einstieg erfolgt telefonisch: Die Angreifer geben sich als interne IT- oder Helpdesk-Kräfte aus und leiten ihre Ziele auf eine Anmelde-URL, die stets dem Muster <Opferorganisation>.<Köderdomäne> folgt. Mehrere dieser Köderdomänen hat Arctic Wolf benannt; eine Auswertung der Subdomains der Köderinfrastruktur förderte Hunderte Einträge zutage, die reale Unternehmen imitieren.
Hinter der Adresse steht ein vom Angreifer kontrollierter Adversary-in-the-Middle-Anmeldevorgang für Microsoft 365. Er greift Zugangsdaten und die Bestätigung der Multi-Faktor-Authentifizierung ab und verschafft den Tätern damit gültige, authentifizierte Sitzungstoken. Diese Token werden anschließend für Session-Replay-Angriffe genutzt – aus Proxy-Infrastruktur wie NodeMaven sowie von IP-Adressen, die zum selben geografischen Standort und zum selben ASN wie das Opfer auflösen.
“Die anfängliche Anmeldeaktivität umfasst Anwendungen wie ‘Meine Anmeldungen’, ‘Mein Profil’ und ‘Meine Apps’, die Kontodetails und die dem Opfer zur Verfügung stehenden Anwendungen offenlegen”, schreiben die Forscher Steven Campbell, Trevor Daher, Stefan Hostetler und Joshua Riccio in ihrer Analyse. Danach folge die Erkundung von SharePoint und Entra ID: Bei SharePoint tauchen den Angaben zufolge SearchQueryPerformed-Ereignisse mit contentclass:STS_Site und contentclass:STS_Web sowie Platzhaltersuchen über indexdocid zur Seitennavigation auf.
Im letzten Schritt sammeln und exfiltrieren die Täter massenhaft Daten aus SharePoint, OneDrive, Exchange und Box. Anschließend gehen den Betroffenen Erpressungsforderungen zu.
Bemerkenswert an PREY-0058 ist, was fehlt: Weder wird Schadsoftware auf Endpunkten abgelegt, noch findet eine netzwerkbasierte Seitwärtsbewegung statt. Die gesamte Operation spielt sich in der Identitäts- und Cloud-Ebene ab.
Die Ziele liegen laut Arctic Wolf überwiegend in den USA, mit Schwerpunkten in Bau und Ingenieurwesen, Gesundheitswesen und Pharma, Immobilien und Objektverwaltung, Finanzwesen sowie bei professionellen Dienstleistern.
Als Gegenmaßnahmen empfiehlt Arctic Wolf den Einsatz von Richtlinien für bedingten Zugriff, phishing-resistente Multi-Faktor-Authentifizierung, eine Begrenzung des Datenumfangs, auf den Nutzer in SharePoint zugreifen können, sowie Schulungen für Beschäftigte und Helpdesk-Personal zum Thema Vishing. “Verteidiger können diese Aktivität stören, indem sie auffällige Token-Wiederholungen über Wohn-Proxys, SharePoint-Erkundung und Massenzugriffe, das Abgreifen von Postfächern sowie neu registrierte, auf Authentifizierung getrimmte Köderinfrastruktur erkennen”, so das Unternehmen.