Eine neue, hochprofessionelle Angriffswelle legt gezielt F\u00fchrungskr\u00e4fte lahm, um an ihre Microsoft-365-Umgebungen zu gelangen. Die T\u00e4ter setzen auf eine komplexe Kombination aus Telefonbetrug, Token-Diebstahl und Proxy-Infrastruktur, um Daten zu stehlen und anschlie\u00dfend L\u00f6segeldforderungen zu stellen. Sicherheitsforscher haben die Details dieser als PREY-0058 bezeichneten Kampagne ver\u00f6ffentlicht und warnen vor der hohen Effektivit\u00e4t der Methode.<\/p>\n
Die Angriffskette beginnt mit einem Anruf. Die T\u00e4ter geben sich als interne IT-Mitarbeiter oder Helpdesk-Personal aus und fordern die Zielperson auf, eine speziell pr\u00e4parierte URL aufzurufen. Diese Webseiten folgen einem Schema, das den Namen des Unternehmens und eine T\u00e4uschungsdomain kombiniert, etwa \u201eassignpasskey[.]com\u201c oder \u201emfaregister[.]com\u201c. Die Liste der von Arctic Wolf<\/a> identifizierten Lockdomains umfasst unter anderem:<\/p>\n Wer auf die Aufforderung eingeht, landet auf einer von den Kriminellen kontrollierten Microsoft-365-Anmeldeseite, die als \u201eAdversary-in-the-Middle\u201c (AitM)-Angriff konzipiert ist. Dabei werden nicht nur die Anmeldedaten und Multifaktor-Authentifizierungs-Codes abgegriffen. Die T\u00e4ter stehlen auch die g\u00fcltigen Sitzungstokens. Diese legitimen Schl\u00fcssel erm\u00f6glichen es ihnen, die Identit\u00e4t des Opfers zu \u00fcbernehmen, ohne dass eine erneute Authentifizierung n\u00f6tig ist.<\/p>\n Ein entscheidendes Element der Kampagne ist die Nutzung von Residential-Proxies. Die gestohlenen Tokens werden nicht direkt von einem Rechenzentrum aus verwendet, sondern \u00fcber IP-Adressen, die zu Wohnorten in der gleichen geografischen Region wie das Opfer geh\u00f6ren. Proxy-Dienste wie NodeMaven verschleiern so die wahre Herkunft der Angreifer und umgehen standortbasierte Sicherheitsrichtlinien. Die Analysten Steven Campbell, Trevor Daher, Stefan Hostetler und Joshua Riccio von Arctic Wolf<\/a> beschreiben den Ablauf im Detail: Die erste Anmeldung \u00fcber die gestohlenen Tokens erfolgt \u00fcber Anwendungen wie \u201eMy Signins\u201c oder \u201eMy Profile\u201c. Diese Dienste zeigen den T\u00e4tern an, welche Accounts und Applikationen dem Opfer zur Verf\u00fcgung stehen.<\/p>\n Nach der ersten Erkundung der Benutzerumgebung starten die Angreifer eine systematische Suche in SharePoint. Dabei werden Suchbefehle ausgef\u00fchrt, die nach Websitesiten, Websammlungen und spezifischen Dokumenten suchen. Die T\u00e4ter nutzen Paginierungstechniken, um alle Ergebnisse abzugreifen. Diese Phase dient der Identifikation wertvoller Datenquellen. Im letzten Schritt erfolgt der eigentliche Datendiebstahl: Die T\u00e4ter exfiltrieren massenhaft Daten aus SharePoint, OneDrive, Exchange und Box. Anders als bei vielen anderen Bedrohungen wird bei PREY-0058 keinerlei Schadsoftware auf den Endger\u00e4ten installiert und es findet keine laterale Bewegung im Netzwerk statt. Die gesamte Attacke spielt sich in der Cloud ab.<\/p>\n Die Kampagne wird von Arctic Wolf unter dem Codenamen PREY-0058 gef\u00fchrt. Sicherheitsforscher sehen deutliche Parallelen zu einer Gruppe, die Mandiant als UNC6671 bezeichnet. Dar\u00fcber hinaus vermuten die Analysten, dass der als Cinder bekannte Erpresser eine Umbenennung oder eine Fortsetzung der Operationen der Gruppe Pink darstellt. Diese sich st\u00e4ndig \u00e4ndernden Bezeichnungen spiegeln jedoch keine einzelne, klar identifizierte T\u00e4tergruppe wider. Vielmehr handelt es sich um ein loses Netzwerk von Affiliates, Splittergruppen oder Banden, die dieselbe Phishing-Infrastruktur nutzen. Die \u00dcberpr\u00fcfung der Subdomains der Lockdomains ergab hunderte von Eintr\u00e4gen, die echte Unternehmen imitieren.<\/p>\n Der Fokus der Angreifer liegt klar auf F\u00fchrungskr\u00e4ften, namentlich Direktoren, Vizepr\u00e4sidenten und anderen leitenden Angestellten. Die betroffenen Unternehmen sind haupts\u00e4chlich in den USA<\/a> ans\u00e4ssig und stammen aus den Branchen Bau und Ingenieurwesen, Gesundheitswesen und Pharma, Immobilienverwaltung, Finanzdienstleistungen sowie professionelle Dienstleistungen.<\/p>\n\n
Die Infrastruktur der T\u00e4uschung: Wohnort-IPs und Proxy-Dienste<\/h2>\n
Vom ersten Zugriff zur Massendatenexfiltration<\/h3>\n
Was ist PREY-0058 und warum ist diese Bedrohung besonders gef\u00e4hrlich?<\/h2>\n
Welche konkreten Ma\u00dfnahmen sch\u00fctzen vor dieser Angriffsmethode?<\/h3>\n