Adversary-in-the-Middle-Angriffe erlauben es den Tätern, Zugangsdaten und Sitzungstoken abzugreifen. Beim Device-Code-Phishing wiederum bringen sie Opfer dazu, über Microsofts legitime Authentifizierungsseiten einer vom Angreifer kontrollierten Anwendung Zugriff auf das Konto zu erteilen.
“Der Akteur investiert offenbar stark in Vorab-Recherche und sammelt vermutlich Informationen über Beschäftigte und Organisationsstrukturen aus öffentlichen Quellen wie sozialen Netzwerken und beruflichen Profilplattformen”, erklärt Microsoft. Passend dazu registrieren die Angreifer Phishing-Domains, die Firmennamen mit Begriffen rund um Passkeys, SSO, Schlüsselsynchronisierung, Kontoeinrichtung und Identitätsprüfung kombinieren. Microsoft nennt unter anderem passkeyhelpdesk[.]com, secure-passkey[.]com, setupmypasskey[.]com, add-passkey[.]com, integratedsso[.]com, oktasession[.]com, keysyncos[.]com und oskeysync[.]com. Häufig steht der Name des Opferunternehmens in einer Subdomain, etwa firmenname.secure-passkey[.]com.
Storm-3121 wird mit ShinyHunters und der Erpressergruppe Falcon in Verbindung gebracht, Storm-3032 mit Mitgliedern der Gruppe BlackFile, die inzwischen unter dem Namen Helix agieren. Google hatte UNC6671 zuvor telefonisches Social Engineering und Passkey-Phishing-Infrastruktur zugeschrieben und die Aktivität ebenfalls mit BlackFile, Helix, Falcon, Pink und Redact verknüpft.
Neu ist vor allem Microsofts Einblick in das, was nach der Kontoübernahme in der Cloud geschieht. In einem untersuchten Fall registrierte Microsoft eine verdächtige Anmeldung von einem nicht verwalteten Gerät an einem Microsoft-365-Dienst, der in den Entra-Protokollen als “OfficeHome” erschien. Nach bestandener MFA-Abfrage baute der Angreifer eine gültige Sitzung auf und prüfte binnen Minuten My Apps, My Profile, Microsoft Approval Management, Kontoverwaltungsoberflächen und My Sign-Ins. Anschließend folgten Zugriffe auf SharePoint Online, Outlook Web, Microsoft-365-Kollaborations- und Suchdienste, eine interne Geschäftsanwendung sowie Authentifizierungsabläufe virtueller Desktops. Rund eine Stunde blieb die Sitzung aktiv, während sensible Dateien und interne Anwendungen aufgelistet wurden.
In einem zweiten Fall führte der Passkey-Köder zum Device-Code-Phishing: Das Opfer tippte einen vorgegebenen Code auf Microsofts echter Anmeldeseite ein, woraufhin ein Token an die Angreifer-OAuth-Anwendung ausgestellt wurde — Zugriff ohne weitere MFA-Abfrage, auch auf angebundene SSO-Anwendungen wie Salesforce, Google Workspace, Dropbox, Adobe, SAP, Slack, Zendesk oder Atlassian. In einem dritten Fall nutzten die Täter zuvor erbeutete Zugangsdaten und führten Aufklärung mit einem automatisierten Node.js-System und Microsoft Graph durch.
Für dauerhaften Zugang hinterlegen die Angreifer eigene MFA-Methoden: neue Telefonnummern, Authenticator-Apps und softwarebasierte Einmalpasswort-Token. Ein vollständiges Zurücksetzen von Zugangsdaten und Sitzungen überstehe diese Persistenz laut Microsoft aber nicht. Über Microsoft Graph zählen sie danach die Cloud-Umgebung auf; Abfragen wie /users, /groups oder /sites seien in Unternehmen alltäglich und fielen kaum auf — verdächtig werde es, wenn dasselbe Konto oder Token rasch zwischen Ressourcen wechselt, Rechte und Authentifizierungseinstellungen prüft und dann auf E-Mails, Anhänge und Dokumente zugreift.
“Microsoft beobachtete umfangreiche Zugriffs- und Download-Aktivitäten gegen SharePoint Online und OneDrive for Business, bei einigen Einbrüchen auch gegen Exchange Online über REST-API-Zugriff auf E-Mail-Inhalte”, so das Unternehmen. Die Zugriffe erzeugten große Mengen an FileAccessed- und FileDownloaded-Ereignissen. Der Vorgang wirkt automatisiert — beim Abfluss aus SharePoint und OneDrive trat der User-Agent python-httpx auf. Statt eines schnellen Rundumschlags zieht sich der Diebstahl über Stunden bis mehrere Tage hin, mit weniger als 1.000 Dateien oder E-Mails pro Stunde, um im legitimen Verkehr unterzugehen.
Microsoft rät, auf ungewöhnliche Anmeldungen mit anschließender MFA-Registrierung, Graph-Aufklärung und auffällige Zugriffe auf SharePoint, OneDrive oder Exchange zu achten. Bei Kompromittierung sollten Administratoren Sitzungen und Token widerrufen, Zugangsdaten zurücksetzen, von Angreifern angelegte Authentifizierungsmethoden und Postfachregeln entfernen und eine Neuregistrierung erzwingen. Empfohlen werden zudem phishing-resistente MFA, die Beschränkung sensibler Cloud-Ressourcen auf verwaltete Geräte und das Abschalten der Device-Code-Authentifizierung, wo sie nicht gebraucht wird.