Die Angriffskette von N0va folgt einem klaren Muster: Der Köder imitiert eine vertraute Marke, es folgt Phishing über den Gerätecode-Mechanismus, anschließend eine echte Authentifizierung, das Abgreifen von Zugriffs- und Aktualisierungs-Tokens, dann Token-Austausch beziehungsweise Geräteregistrierung — und schließlich SSO-Zugriff auf Unternehmensressourcen.
Genau dieser Ablauf macht die Kampagne für Sicherheitsteams schwer greifbar. Weil N0va legitime Anmeldevorgänge und echte Geschäftsdienste missbraucht, liefern statische Indikatoren allein wenig Aufschluss. Entscheidend sei, so ANY.RUN, die Sichtbarkeit des tatsächlichen Verhaltens: Nur so lasse sich bestätigen, was während der Interaktion wirklich passiert.
ANY.RUN nennt ein charakteristisches URL-Muster, über das sich verwandte Aktivität im hauseigenen Threat Intelligence Lookup finden lässt: url:"/api/verification/init?session=*&flow=*prompt_profile=". Die Abfrage fördert passende URLs und verwandte Aktivität mit derselben Anfragestruktur zutage. Analysten können damit über einen einzelnen Indikator hinausgehen und erkennen, wie die Kampagne über verschiedene Einreichungen und Infrastrukturen hinweg auftritt.
Der Nutzen liegt vor allem in der Einordnung: Statt jeden verdächtigen Fund einzeln zu prüfen, lässt sich klären, ob ein N0va-Indikator isoliert ist oder zu einer breiteren Kampagne gehört. Der Dienst verknüpft dazu URLs, Domains, IP-Adressen, Dateien, Sandbox-Sitzungen und Infrastruktur miteinander, sodass der Umfang der Aktivität sichtbar wird, ohne dass jede Verbindung manuell zusammengesetzt werden muss.
Für die Verhaltensanalyse verweist der Anbieter auf seine interaktive Sandbox, in der sich der Angriff live mitverfolgen lässt — vom ursprünglichen Köder über Weiterleitungen bis zu Netzwerkaktivität und Folgeverhalten. In einem kürzlich untersuchten N0va-Fall mit einem Microsoft-Köder fiel das erste Schadverdikt nach 24 Sekunden; die vollständige Angriffskette wurde innerhalb derselben Sitzung offengelegt. Dadurch könnten Analysten der ersten Ebene mehr Fälle eigenständig abschließen, statt jedes verdächtige Ereignis an erfahrenere Kollegen weiterzureichen.
Bestätigte Erkenntnisse sollen anschließend über Threat-Intelligence-Feeds in bereits vorhandene Werkzeuge einfließen — SIEM, SOAR, EDR, Firewalls und weitere Systeme. Die Datenbasis von ANY.RUN stammt nach Angaben des Unternehmens aus der beobachteten Aktivität von mehr als 16.000 Organisationen und über 700.000 Sicherheitsfachleuten, was einen breiteren Blick auf neu auftauchende bösartige Infrastruktur und wiederkehrende Angriffsmuster ermögliche.
Zu den Ergebnissen beim Einsatz seiner Werkzeuge nennt der Anbieter konkrete Kennzahlen: Organisationen hätten die Untersuchungszeit auf der ersten Analyseebene um 20 Prozent verkürzt, die Eskalationen von der ersten an die zweite Ebene um 30 Prozent reduziert und die mittlere Reaktionszeit (MTTR) um 21 Minuten pro Fall gesenkt.
N0va ist damit ein Beispiel dafür, wie schnell ein Phishing-Angriff in einen Identitätsvorfall übergeht, sobald Angreifer vertrauenswürdige Plattformen und reguläre Authentifizierungswege für sich nutzen. Die Zeitspanne zwischen Erkennung und Eindämmung entscheidet darüber, ob ein einzelner kompromittierter Zugang zum unternehmensweiten Problem wird.