Der Einstieg beginnt außerhalb der Unternehmens-IT. Die Angreifer rufen Beschäftigte an oder schreiben ihnen auf privaten Geräten und behaupten, eine Authentifizierungsmethode müsse aktualisiert werden — ein Passkey, die Multifaktor-Authentifizierung oder eine Single-Sign-on-Konfiguration —, andernfalls drohe der Verlust des Arbeitszugangs. Ein mitgeschickter Link führt auf eine überzeugend gestaltete Microsoft-Anmeldeseite.
Dort kommen laut Microsoft zwei Techniken zum Einsatz: Adversary-in-the-Middle-Angriffe, mit denen Zugangsdaten und Sitzungstoken abgegriffen werden, sowie Device-Code-Phishing. Zur Tarnung registrieren die Domains die Namen der betroffenen Arbeitgeber zusammen mit sicherheitsnahen Begriffen, etwa nach dem Muster “company[.]add-passkey[.]com”. In einer Minderheit der Fälle nutzten die Täter ein bereits übernommenes Mitarbeiterkonto, um weitere Beschäftigte anzuschreiben — für mehr Glaubwürdigkeit oder um an privilegiertere Personen heranzukommen. Dauerhaften Zugriff sichern sie sich, indem sie eigene MFA-Geräte registrieren.
Das eigentliche Problem für Ermittler ist, dass fast nichts davon auf Firmensystemen stattfindet. “In vielen Untersuchungen ist die Erinnerung des Mitarbeiters an einen Anruf oder eine Textnachricht der früheste und manchmal der einzige Beleg dafür, wie die Kompromittierung begann”, schreibt Microsoft in seinem Blogbeitrag. Ermittler müssten den Angriff daher oft rekonstruieren, indem sie solche Berichte mit späteren Anmeldungen, Device-Code-Authentifizierungen, Token-Aktivitäten und Änderungen an Authentifizierungsmethoden verknüpfen.
Im zweiten Schritt verzichten die Gruppen bewusst auf Schadsoftware oder auffällige Werkzeuge im Netzwerk. Stattdessen fragen sie die Microsoft Graph API ab, die gemeinsame Schnittstelle zu allen Microsoft-Cloud-Diensten. Berechtigte Nutzer können darüber Konten, Ressourcen, Inhalte und Berechtigungen inventarisieren — für einen Angreifer die vollständige Landkarte der Umgebung.
Genau darin liegt die Tücke: “Missbrauch von Microsoft Graph wirkt selten verdächtig, wenn man einen einzelnen API-Aufruf betrachtet. Anfragen an Endpunkte wie /users, /groups oder /sites sind in Unternehmensumgebungen alltäglich”, so die Forscher. Erst wenn eine einzelne Identität oder Anwendung auffällig viele Aufrufe absetzt und die Organisation dies überhaupt erkennt und markiert, wird daraus verwertbare Sicherheitsinformation.
Beim Datenabfluss beobachtete Microsoft vor allem Inhalte aus SharePoint, OneDrive und Exchange. Auch hier bleiben die Angreifer unauffällig: statt großer Transfers laden sie kleine Dateipakete in Abständen über längere Zeiträume herunter.
Als Gegenmaßnahmen empfiehlt Microsoft, verdächtige Datenabflüsse durch Anwendungen und gebündelte Graph-API-Aufrufe konsequenter zu protokollieren und aktiv danach zu suchen sowie Graph-Berechtigungen generell eng zu fassen. Für das Risiko privater Geräte raten die Forscher zu strengeren Authentifizierungsregeln: phishing-resistente MFA bei jeder Anmeldung, Blockieren von Device-Code-Flows, wo sie nicht gebraucht werden, und Beschränkung des Anwendungszugriffs auf verwaltete Geräte.
Robert Coles, Senior Manager für Threat Intelligence Security bei Black Duck, hält Verbote privater Geräte für den falschen Hebel: “Organisationen gewinnen mehr, wenn sie Identitäts- und Authentifizierungskontrollen stärken, als wenn sie versuchen, BYOD abzuschaffen.” Eine Einschränkung privater Geräte senke zwar ein gewisses Risiko, sei für die meisten Unternehmen aber nicht realistisch und hätte das beschriebene Social Engineering nicht verhindert. “Die Angreifer haben nicht das Gerät kompromittiert, sie haben den Nutzer überzeugt, ihnen zu vertrauen”, sagt Coles. Ziel müsse sein, “ein kompromittiertes Konto für einen Angreifer deutlich weniger nützlich zu machen”.