Die Betrugswelle im August setzte laut dem Microsoft Security Research Team nicht auf einen einzelnen Köder, sondern auf ein durchkomponiertes Szenario: „Anders als klassische Rechnungsbetrügereien, die sich auf einen einzigen Social-Engineering-Köder stützen, verband diese Kampagne die Imitation von Führungskräften, Lieferanten-Branding, gefälschte Rechnungen und begleitende E-Mail-Konversationen zu einer einheitlichen Erzählung, die die Skepsis der Empfänger senken sollte."
Dem Ablauf nach registrierten die Täter zunächst Imitationsdomains, versendeten dann über vertrauenswürdige Infrastruktur Zahlungsaufforderungen im Namen von Führungskräften, legten erfundene Rechnungen samt vorgetäuschtem Mailverlauf bei und drängten das Finanzpersonal zur ACH-Überweisung. Besonders perfide: Die Angreifer recherchierten Namen und Adressen von CEOs, CFOs und Präsidenten der Zielorganisationen und setzten sie in die Signaturen ein. Hinweise deuten darauf hin, dass generative KI beim Erstellen der Vorlagen und beim Zuschneiden der Mails auf einzelne Empfänger half.
Die zweite Kampagne beginnt mit identitätsbezogenem Social Engineering. Per Anruf oder Nachricht auf private Rufnummern wird ein drohender Zugriffsverlust behauptet; SMS leiten die Betroffenen auf nachgebaute Microsoft-Anmeldeseiten. Ziel ist es, die Opfer durch Adversary-in-the-Middle- oder Device-Code-Anmeldeflüsse zu führen – entweder werden Zugangsdaten abgegriffen oder die Nutzer erteilen unwissentlich selbst den Zugriff.
„Der Akteur investiert offenbar stark in Vorab-Recherche und sammelt vermutlich Informationen über Beschäftigte und Organisationsstrukturen aus öffentlichen Quellen wie sozialen Netzwerken und beruflichen Profilplattformen", so Microsoft. In einer kleineren Zahl von Fällen nutzen die Täter bereits übernommene Konten, um vergleichbare Passkey-Nachrichten über Microsoft Teams weiterzuverbreiten. Registrierte Domains greifen Themen wie Passkeys, SSO-Registrierung, Kontoaktivierung und Identitätsprüfung auf und enthalten den Firmennamen des Ziels als Subdomain im Muster „<Firmenname>.<schädliche Domain>[.]com".
Diese Vorgehensweise überschneidet sich mit einem lose organisierten Cybercrime-Verbund, der in der Sicherheitsbranche als Cordial Spider, O-UNC-045, PREY-0058 und UNC6671 geführt wird. UNC6671 nutzt demnach Panels zum Abgreifen von Zugangsdaten auf generischen Root-Domains mit Passkey-Bezug und hängt opferspezifische Subdomains an, um gezieltes Voice-Phishing zu ermöglichen. Die genaue Natur der Verbindungen ist unklar; vermutet werden abgespaltene Affiliates, die auf dieselben Playbooks, kommerziellen Phishing-Panels, Anrufer und Infrastruktur zurückgreifen.
Microsoft schreibt den Erstzugriff mehreren Akteuren zu: Storm-3121 mündet in Erpressungen durch ShinyHunters und Falcon (auch CL-CRI-1182), Storm-3032 ist die Bezeichnung für UNC6671 – eine Abspaltung der BlackFile-Gruppe (CL-CRI-1116), die inzwischen unter der Erpressungsmarke Helix auftritt.
Nach dem Einstieg gehe es dem Akteur vor allem um Dauerhaftigkeit: „Statt sich allein auf gestohlene Zugangsdaten zu verlassen, registrierte der Akteur eine von ihm kontrollierte MFA-Methode, typischerweise eine neue Telefonnummer, eine Authenticator-App oder einen softwarebasierten OTP-Token." Damit kann er sich ohne Zutun des Opfers anmelden. In einem untersuchten Fall meldeten sich die Täter von einem nicht verwalteten Gerät bei Microsoft Office Home an und weiteten den Zugriff über die Graph API auf SharePoint Online und OneDrive aus, um sensible Dateien und interne Dienste zu erfassen. Ein weiterer Fall nutzte einen Passkey-Köder für Device-Code-Phishing und umging MFA vollständig.
Microsoft verweist auf ein Erkennungsproblem: Der Missbrauch von Microsoft Graph wirke in einzelnen API-Aufrufen selten verdächtig. Graph-Aktivität müsse deshalb ganzheitlich bewertet werden – mit Blick auf Verhaltensverläufe und ereignisübergreifende Korrelation statt isolierter Anfragen.