Forschende von Arctic Wolf Labs haben eine groß angelegte Phishing-Kampagne beobachtet, die auf Konten von Microsoft 365 abzielt. Die Angreifer setzen die Technik adversary-in-the-middle (AitM) ein, um Anmeldedaten und Codes für die Multi-Faktor-Authentifizierung abzugreifen und nutzen anschließend die kompromittierten Sitzungen, um die Korrespondenz von Mitarbeitenden zu sammeln, die mit Finanzprozessen wie Lohn- und Gehaltsabrechnung, Zahlungen und Bankgeschäften befasst sind. Nach Angaben der Forschenden haben im letzten Monat Hunderte von Organisationen aus den Sektoren Gesundheitswesen, Bildung, Fertigung, öffentliche Verwaltung und professionelle Dienstleistungen in den USA, Kanada und Europa entsprechende Phishing-E-Mails erhalten.
Mehrstufige Angriffskette
Der initiale Vektor sind Phishing-E-Mails mit dem Thema Sprachnachrichten. Das Opfer wird über eine sechsstufige Kette von Weiterleitungen umgeleitet, in der legitime Dienste genutzt werden, um reputationsbasierte Filter zu umgehen:
- Google-Meet-Redirect-Link
- Infrastruktur für ausgehende Links von Google
- Dynamischer Click-Tracker von Google Campaign Manager (
/ddm/clk) - HTML-Objekt, das in einem Amazon-S3-Bucket gehostet wird
- Abschließende Weiterleitung auf die AitM-Infrastruktur
- Proxy-geschaltete Microsoft-OAuth-Anmeldeseite
Der Einsatz vertrauenswürdiger Domains von Google und Amazon in den Zwischenschritten ermöglicht es E-Mails und Links, sicherheitsrelevante, auf Domainreputation basierende Filter zu passieren.
Fingerprinting und Geolokalisierung
Die Phishing-Seiten führen JavaScript-Code aus, um einen digitalen Fingerabdruck des Browsers des Opfers zu erstellen: Es werden Daten zum Betriebssystem, zur Bildschirmgröße, zur Browsersprache, zur Zeitverschiebung der Zeitzone, zur Cookie-Unterstützung, zum WebDriver-Status, zum WebGL-Anbieter und zu den verfügbaren Browser-APIs gesammelt. Die gesammelten Informationen werden über eine HTTP-POST-Anfrage an einen PHP-Endpunkt gesendet, woraufhin der Browser zum proxy-geschalteten Microsoft-OAuth-Authorisierungsendpunkt weitergeleitet wird.
Zusätzlich ruft das Phishing-Kit das Geolokalisierungs-API api.country[.]is auf, um das Land des Opfers zu bestimmen. Das Ergebnis wird in einem Cookie rcfh_country mit einer Gültigkeitsdauer von sieben Tagen gespeichert. Nach Einschätzung der Forschenden werden diese Daten vermutlich genutzt, um bei späteren Anmeldungen in kompromittierten Konten geografisch passende Proxy-Infrastrukturen auszuwählen.
Automatisierung der Post-Exploitation
Nach Erlangung des ersten Zugriffs zeigen die Angreifer ein charakteristisches Verhaltensmuster, das sich von typischen BEC-Angriffen unterscheidet. Den Angaben zufolge beginnen 11–24 Stunden nach der Erstkompromittierung automatisierte Anmeldungen in Abständen von ungefähr acht Stunden mit Rotation von Adressen aus einem Pool residierender Proxys. Dabei bleibt die Sitzungs-ID (SessionID) unverändert, während sich IP-Adresse, ASN und geografischer Standort ändern – was auf eine zentralisierte Automatisierung der Aktualisierung jeder kompromittierten Sitzung hinweist.
Die Forschenden stellten eine Reihe von Anomalien in den Anmeldedaten fest:
- Unplausible Kombinationen von Browser und Betriebssystem – mobile Versionen von Apple Safari oder Google Chrome unter Windows 10
- Als Client-Anwendung wird Microsoft Outlook angegeben, doch der user-agent enthält Firefox 131.0, Firefox 151.0 oder Python Requests statt des erwarteten Edge
- Der Einsatz residierender Proxys tarnt schädliche Anmeldungen als gewöhnlichen Verbraucherverkehr
Gezielte Sammlung finanzieller Korrespondenz
Zur Aufklärung innerhalb kompromittierter Tenants nutzen die Angreifer die Microsoft Graph API, um Nutzerinnen und Nutzer aufzulisten, die mit Aufgaben im Bereich Lohn- und Gehaltsabrechnung, HR, Finanzen und Administration verbunden sind. Anschließend wird auf Nachrichten zugegriffen, die Informationen zu Gehältern, Rechnungen, Zahlungen, Bankverbindungen, Leistungen und internen Dokumenten enthalten.
Bemerkenswert ist, dass sich in der Mehrzahl der untersuchten Vorfälle die Post-Exploitation-Aktivität auf die Aufrechterhaltung der Sitzungen, Aufklärung und das Sammeln von Postfachinhalten beschränkte. Die Forschenden beobachteten keine Änderungen von MFA-Methoden, Geräteeintragungen, Modifikationen von Anmeldedaten, laterales Phishing oder das Anlegen von Regeln für eingehende Nachrichten. Diese Zurückhaltung reduziert die Möglichkeiten einer frühzeitigen Erkennung, die auf der Überwachung von Kontoänderungen basiert.
In Einzelfällen wurde manuelle Aktivität festgestellt: Es wurden Regeln erstellt, die bestimmte Nachrichten automatisch aus dem Ordner „Posteingang“ in „Gelöscht“ verschieben und als „gelesen“ markieren. Dies weist auf ein hybrides Modell hin, bei dem Operatoren selektiv eingreifen, während eine automatisierte Infrastruktur die Routineaufgaben übernimmt.
Bezug zu bekannten Kampagnen
Die beschriebene Aktivität weist nach Angaben von Arctic Wolf taktische Überschneidungen mit Kampagnen der Gruppierung Payroll Pirates auf – einem finanziell motivierten Bedrohungscluster, der sich auf die Übernahme von Mitarbeiterkonten spezialisiert hat, um Gehaltszahlungen auf kontrollierte Konten umzuleiten. Einzelne Aspekte dieser Kampagnen werden seit Anfang 2025 dokumentiert. Es ist zu beachten, dass die Attribution auf der Einschätzung eines einzelnen Anbieters beruht und nicht von unabhängigen Quellen bestätigt wurde.
Empfehlungen für Erkennung und Schutz
Angesichts der Besonderheiten der Kampagne – Umgehung von MFA, Einsatz residierender Proxys und minimale Post-Exploitation-Aktivität – können Standardmechanismen zur Erkennung von BEC unzureichend sein. Empfohlene Maßnahmen:
- Überwachung von Sitzungsanomalien: Verfolgen Sie Anmeldungen, bei denen die SessionID erhalten bleibt, sich aber IP-Adresse, ASN und Geolokation ändern. Achtstündige Intervalle zwischen den Anmeldungen sind ein charakteristischer Indikator
- Analyse des user-agent: Protokollieren Sie Abweichungen zwischen der angegebenen Client-Anwendung (Outlook) und dem tatsächlichen user-agent (Firefox, Python Requests)
- Prüfung von Browser/OS-Kombinationen: Mobile Versionen von Safari oder Chrome unter Windows 10 sind ein eindeutiges Anzeichen für eine Manipulation
- Audit des Zugriffs auf die Graph API: Überwachen Sie massenhaftes Auflisten von Benutzern und Zugriffe auf Postfächer über die Graph API, insbesondere auf Postfächer von Mitarbeitenden in Finanz- und HR-Abteilungen
- Richtlinien für bedingten Zugriff: Setzen Sie die Geräte-Compliance (device compliance) als zwingende Voraussetzung für den Zugriff auf Microsoft 365 ein – dies erschwert die Nutzung gestohlener Sitzungen von nicht verwalteten Geräten erheblich
- Blockierung von IOC: Die Domain
api.country[.]iskann auf DNS- oder Proxy-Ebene als Indikator für Phishing-Infrastruktur blockiert werden
Die Verzögerung zwischen der Erstkompromittierung und dem Beginn der automatisierten Aktivität (11–24 Stunden) in Kombination mit dem bewussten Verzicht auf typische BEC-Aktivitäten macht diese Kampagne besonders schwierig, retrospektiv zu erkennen. Organisationen, die Microsoft 365 einsetzen, sollten umgehend die Anmeldeprotokolle der letzten 30 Tage auf die beschriebenen Anomalien hin prüfen – Unstimmigkeiten beim user-agent, IP-Rotation bei gleichbleibender SessionID und untypische Zugriffe auf die Graph API im Namen von Konten aus Finanzabteilungen.
