Eine neue, hochprofessionelle Angriffswelle legt gezielt Führungskräfte lahm, um an ihre Microsoft-365-Umgebungen zu gelangen. Die Täter setzen auf eine komplexe Kombination aus Telefonbetrug, Token-Diebstahl und Proxy-Infrastruktur, um Daten zu stehlen und anschließend Lösegeldforderungen zu stellen. Sicherheitsforscher haben die Details dieser als PREY-0058 bezeichneten Kampagne veröffentlicht und warnen vor der hohen Effektivität der Methode.
Die Marketing-Abteilung als Einfallstor: Wie die Angreifer vorgehen
Die Angriffskette beginnt mit einem Anruf. Die Täter geben sich als interne IT-Mitarbeiter oder Helpdesk-Personal aus und fordern die Zielperson auf, eine speziell präparierte URL aufzurufen. Diese Webseiten folgen einem Schema, das den Namen des Unternehmens und eine Täuschungsdomain kombiniert, etwa „assignpasskey[.]com“ oder „mfaregister[.]com“. Die Liste der von Arctic Wolf identifizierten Lockdomains umfasst unter anderem:
- assignpasskey[.]com
- mfaregister[.]com
- nowsso[.]com
- oskeysetup[.]com
- oursso[.]com
- passkey-mfa[.]com
- passkeydeploy[.]com
- registermymfa[.]com
- setpasskey[.]com
Wer auf die Aufforderung eingeht, landet auf einer von den Kriminellen kontrollierten Microsoft-365-Anmeldeseite, die als „Adversary-in-the-Middle“ (AitM)-Angriff konzipiert ist. Dabei werden nicht nur die Anmeldedaten und Multifaktor-Authentifizierungs-Codes abgegriffen. Die Täter stehlen auch die gültigen Sitzungstokens. Diese legitimen Schlüssel ermöglichen es ihnen, die Identität des Opfers zu übernehmen, ohne dass eine erneute Authentifizierung nötig ist.
Die Infrastruktur der Täuschung: Wohnort-IPs und Proxy-Dienste
Ein entscheidendes Element der Kampagne ist die Nutzung von Residential-Proxies. Die gestohlenen Tokens werden nicht direkt von einem Rechenzentrum aus verwendet, sondern über IP-Adressen, die zu Wohnorten in der gleichen geografischen Region wie das Opfer gehören. Proxy-Dienste wie NodeMaven verschleiern so die wahre Herkunft der Angreifer und umgehen standortbasierte Sicherheitsrichtlinien. Die Analysten Steven Campbell, Trevor Daher, Stefan Hostetler und Joshua Riccio von Arctic Wolf beschreiben den Ablauf im Detail: Die erste Anmeldung über die gestohlenen Tokens erfolgt über Anwendungen wie „My Signins“ oder „My Profile“. Diese Dienste zeigen den Tätern an, welche Accounts und Applikationen dem Opfer zur Verfügung stehen.
Vom ersten Zugriff zur Massendatenexfiltration
Nach der ersten Erkundung der Benutzerumgebung starten die Angreifer eine systematische Suche in SharePoint. Dabei werden Suchbefehle ausgeführt, die nach Websitesiten, Websammlungen und spezifischen Dokumenten suchen. Die Täter nutzen Paginierungstechniken, um alle Ergebnisse abzugreifen. Diese Phase dient der Identifikation wertvoller Datenquellen. Im letzten Schritt erfolgt der eigentliche Datendiebstahl: Die Täter exfiltrieren massenhaft Daten aus SharePoint, OneDrive, Exchange und Box. Anders als bei vielen anderen Bedrohungen wird bei PREY-0058 keinerlei Schadsoftware auf den Endgeräten installiert und es findet keine laterale Bewegung im Netzwerk statt. Die gesamte Attacke spielt sich in der Cloud ab.
Was ist PREY-0058 und warum ist diese Bedrohung besonders gefährlich?
Die Kampagne wird von Arctic Wolf unter dem Codenamen PREY-0058 geführt. Sicherheitsforscher sehen deutliche Parallelen zu einer Gruppe, die Mandiant als UNC6671 bezeichnet. Darüber hinaus vermuten die Analysten, dass der als Cinder bekannte Erpresser eine Umbenennung oder eine Fortsetzung der Operationen der Gruppe Pink darstellt. Diese sich ständig ändernden Bezeichnungen spiegeln jedoch keine einzelne, klar identifizierte Tätergruppe wider. Vielmehr handelt es sich um ein loses Netzwerk von Affiliates, Splittergruppen oder Banden, die dieselbe Phishing-Infrastruktur nutzen. Die Überprüfung der Subdomains der Lockdomains ergab hunderte von Einträgen, die echte Unternehmen imitieren.
Der Fokus der Angreifer liegt klar auf Führungskräften, namentlich Direktoren, Vizepräsidenten und anderen leitenden Angestellten. Die betroffenen Unternehmen sind hauptsächlich in den USA ansässig und stammen aus den Branchen Bau und Ingenieurwesen, Gesundheitswesen und Pharma, Immobilienverwaltung, Finanzdienstleistungen sowie professionelle Dienstleistungen.
Welche konkreten Maßnahmen schützen vor dieser Angriffsmethode?
Die effektivste Verteidigung beginnt mit dem Bewusstsein der Mitarbeiter. Unternehmen sollten ihre Belegschaft, insbesondere Führungskräfte und den Helpdesk, über die Gefahren von Telefon-Phishing (Vishing) aufklären. Ein zentraler Punkt ist die Implementierung von Conditional-Access-Richtlinien in Microsoft 365. Diese können verdächtige Anmeldeversuche blockieren, etwa wenn die geografische Herkunft nicht zur erwarteten Region des Benutzers passt. Die Einführung von phishing-resistenter MFA, wie etwa FIDO2-Sicherheitsschlüssel, ist ein weiterer wichtiger Schritt. Zudem sollten Administratoren den Datenzugriff in SharePoint so restriktiv wie möglich gestalten, um den potenziellen Schaden einer Kompromittierung zu begrenzen.
Indikatoren für eine Kompromittierung erkennen
Sicherheitsteams können diese Aktivität an mehreren typischen Mustern erkennen. Dazu gehören die abnormalen Token-Replays über Residential-Proxy-IPs, die einen Großteil der Erkundungsaktivität in SharePoint und einen massenhaften Zugriff auf Mailboxen. Auch die plötzliche Registrierung neuer Authentifizierungs-Lockdomains kann ein Warnsignal sein. Die Täter verzichten bewusst auf den Einsatz von Malware, was die Erkennung durch klassische Antivirenlösungen erschwert. Die Analyse der Anmelde-Logs in Microsoft 365 und die Überwachung auf ungewöhnliche Suchmuster in SharePoint sind essenziell, um einen solchen Angriff frühzeitig zu stoppen.
