Forschende des Unternehmens Island haben Details offengelegt zur neuen Phishing-Plattform NovaCookies, die im Abomodell für 320 US-Dollar pro Monat angeboten wird und für das Abfangen authentifizierter Microsoft-365-Sessions in Echtzeit ausgelegt ist. Die Plattform fungiert als adversary-in-the-middle-(AitM)-Proxy-Server und ermöglicht Angreifenden, die Zugangsdaten und MFA-Codes (Multi-Faktor-Authentifizierung) ihrer Opfer zu kapern. Nach Angaben der Forschenden wurden mit NovaCookies Hunderte Organisationen in unterschiedlichen Branchen in den USA, Großbritannien, Kanada, Deutschland, Israel und den VAE angegriffen. Organisationen, die Microsoft 365 einsetzen, wird empfohlen, umgehend ihre Richtlinien für bedingten Zugriff zu überprüfen und FIDO2-Hardware-Keys als primären Authentifizierungsfaktor einzuführen.
Mechanismus der Attacke: Vertrauenswürdige Services als Tarnung
NovaCookies setzt auf ein klassisches AitM-Phishing-Schema, erweitert es jedoch um mehrere technische Besonderheiten, die die Wirksamkeit der Angriffe deutlich erhöhen. Die zentrale Taktik ist der Einsatz einer Kette vertrauenswürdiger Services, bei der jeder einzelne Schritt für sich genommen legitim wirkt.
Den Beobachtungen von Island zufolge nutzen die Kampagnen echte DocuSign-Benachrichtigungen als Köder. Die Angreifenden erstellen einen echten DocuSign-Umschlag, der ein Dokument mit einem schädlichen Link enthält. Da die E-Mail selbst eine legitime DocuSign-Benachrichtigung ist, passiert sie problemlos Absenderauthentifizierungs- und Reputationsprüfungen. Die bösartige Nutzlast ist im Dokument verborgen – unterhalb der Prüftiefe, die die meisten E-Mail-Sicherheitslösungen anwenden. In einem dokumentierten Fall war der Köder als Benachrichtigung der Buchhaltung gestaltet, in der Zugriff auf eine PDF-Datei mit einem Zahlungsauftrag gewährt wurde.
Nach dem Klicken auf den Link durchläuft das Opfer eine Reihe von Weiterleitungen, darunter legitime Login-Endpunkte von Microsoft oder Google, bevor es schließlich auf Infrastruktur landet, die von den Angreifenden kontrolliert wird. Vorliegenden Erkenntnissen zufolge nutzt der Angriff auch die von Microsoft bereits im März dieses Jahres beschriebene Technik der Weiterleitung über OAuth-Fehler. Die Phishing-Infrastruktur von NovaCookies fungiert als AitM-Relais in Echtzeit: Sie fängt eingegebene Passwörter und MFA-Codes ab und leitet sie unmittelbar an die Microsoft-Server weiter, um im Gegenzug eine authentifizierte Session zu erhalten.
Infrastruktur und Umgehungstechniken
Die Analyse der NovaCookies-Infrastruktur hat mehrere charakteristische Muster zutage gefördert. Ein erheblicher Teil der Köder-Domains ist in der Top-Level-Domain .vu (Vanuatu) registriert. Zu den beobachteten Indikatoren einer Kompromittierung gehört die Domain fordmotbvmorcompany[.]vu. Die Phishing-URLs enthalten Marker mit abwechselnder Groß- und Kleinschreibung wie PwPt-sHaRe, Ms36-AcCeSs und ClOd-ViEw, die legitime Microsoft-Services imitieren.
Die Plattform integriert Mechanismen zur Analyseabwehr: ein Cloudflare-Gateway zur Filterung automatisierter Scanner sowie ein System zur Erkennung von Laufzeitumgebungen, wie sie für Debugging-Werkzeuge typisch sind. Diese Prüfungen erfolgen, bevor das gefälschte Microsoft-365-Loginformular angezeigt wird.
Den Forschenden zufolge wird NovaCookies über Telegram beworben und verwaltet, das nicht nur für das Marketing, sondern auch als Infrastruktur für das Management von Kundenprofilen, die Konfiguration von Weiterleitungsdiensten und den technischen Support dient.
Bezug zu Sneaky 2FA und Erweiterung der Zielbasis
Das Unternehmen Proofpoint stuft NovaCookies als Variante des bekannten Phishing-Kits Sneaky 2FA ein. Zwischen beiden bestehen jedoch wesentliche Unterschiede. Während das ursprüngliche Sneaky 2FA primär auf Microsoft-Konten ausgerichtet war, umfasst NovaCookies laut Proofpoint dedizierte Flows für andere Identity Provider, darunter Okta und Entra-Domains, die über GoDaddy föderiert sind.
Ein weiterer wesentlicher Unterschied ist das Service-Modell. NovaCookies arbeitet im Modell eines vollständig gemanagten Dienstes (PhaaS), bei dem die Infrastruktur zentral vom Plattformbetreiber bereitgestellt wird und nicht von jedem einzelnen Affiliate. Das senkt die Einstiegshürde für Angreifende und erleichtert die Skalierung der Kampagnen.
Explosives Wachstum des Marktes für Phishing-Plattformen
NovaCookies ist bei Weitem kein Einzelfall. In den vergangenen Monaten wurden über ein Dutzend neuer Phishing-Services beobachtet, von denen jeder eigene Innovationen einbringt:
- iAuthFlow V2 – nutzt eine browser-in-the-middle-Technik, um Google-Sessions abzufangen und anschließend den Hardware-Key des Angreifenden zu registrieren, was dauerhaften Zugriff ermöglicht. Das Basispaket kostet 10.000 US-Dollar.
- LinXcoded (Mirage2FA) – versendet Phishing-E-Mails von kompromittierten Microsoft-365-Tenants und verwendet HTML-Anhänge statt Links, um E-Mail-Filter zu umgehen.
- ARToken – missbraucht den OAuth-Device-Authorization-Flow zur vollständigen Übernahme von Microsoft-365-Konten.
- EvilTokens – automatisiert nach der Kompromittierung die Mailbox-Analyse, das Mapping von Kontakten sowie die Generierung betrügerischer Nachrichten mittels KI.
- Balonx Sistema – eine mexikanische PhaaS-Operation mit integriertem Android-RAT und KI-Komponente für Voice-Phishing, die seit Oktober 2025 Daten von mehr als 1100 Nutzenden gesammelt hat.
Besondere Aufmerksamkeit verdient der Trend zur Integration von KI: Die Plattformen ATHR, p1bot.io und AnonyMousKIT setzen Sprachsynthese und große Sprachmodelle ein, um Voice-Phishing (vishing) zu automatisieren, das bislang in der Regel den Einsatz menschlicher Operatoren erforderte.
Aktivität von DOUBLOON DREDGER
Parallel zur Analyse von NovaCookies haben Forschende von Sublime Aktivitäten der Gruppierung DOUBLOON DREDGER beobachtet, die Notion-Konten missbraucht, um schädliche PDF-Dateien zu verteilen. Notion dient dabei gleichzeitig als legitimer E-Mail-Absender, vertrauenswürdige Infrastruktur und Hosting-Plattform für die bösartigen Dokumente. Die PDF-Dateien enthalten zwei bis drei überlappende Links, die zu Seiten zur Sammlung von Gerätecodes für EvilTokens führen. Die Zielseite nutzt JavaScript-Obfuskation und -Verschlüsselung, die den in Tycoon-2FA-Kampagnen verwendeten Techniken ähnelt.
Auswirkungsanalyse und betroffene Produkte
Am stärksten betroffen sind Organisationen, die Microsoft 365 als primäre Plattform für Zusammenarbeit einsetzen – insbesondere in Finanz-, Rechts- und Unternehmenskunden-Sektoren, in denen DocuSign weit verbreitet ist. Die Erweiterung von NovaCookies auf Okta und föderierte Entra-Domains bedeutet, dass auch Organisationen mit hybrider Identitätsarchitektur bedroht sind.
Ein kritischer Aspekt: AitM-Angriffe hebeln klassische MFA auf Basis einmaliger Codes (SMS, TOTP, Push-Benachrichtigungen) vollständig aus. Das Opfer gibt einen korrekten MFA-Code ein, der jedoch in Echtzeit abgefangen und von den Angreifenden verwendet wird.
Empfehlungen zum Schutz
- Umstieg auf FIDO2/WebAuthn-Hardware-Keys – dies ist die einzige Authentifizierungsmethode, die gegenüber AitM-Angriffen resistent ist, da der Schlüssel kryptografisch an die Domain gebunden ist und nicht über einen Proxy weitergeleitet werden kann.
- Konfiguration von Richtlinien für bedingten Zugriff in Microsoft Entra ID: Logins auf verwaltete Geräte, vertrauenswürdige Netzwerke und den Status „Compliant Device“ beschränken.
- Aktivierung der Risikobewertung bei Anmeldungen (Sign-in Risk Policy) mit automatischer Anforderung einer erneuten Authentifizierung bei erkannten Anomalien.
- Überwachung von .vu-Domains und von URLs mit charakteristischen Mustern abwechselnder Groß- und Kleinschreibung (PwPt-sHaRe, Ms36-AcCeSs, ClOd-ViEw) in Proxy- und DNS-Logs.
- Schulung der Mitarbeitenden, damit sie die URL nach allen Weiterleitungen prüfen und nicht nur die Domain des E-Mail-Absenders – insbesondere bei der Arbeit mit DocuSign und ähnlichen Services.
- Einrichtung eines Monitorings für atypische Sessions: Eine Anmeldung von einem neuen Gerät oder einer neuen Geolokation unmittelbar nach einem legitimen Login kann auf eine übernommene Session hindeuten.
Das Aufkommen von NovaCookies und mehr als einem Dutzend vergleichbarer Plattformen in den vergangenen Monaten verdeutlicht einen strukturellen Wandel: Phishing entwickelt sich von einer handwerklichen Tätigkeit zu einem Service mit zentralisierter Infrastruktur, technischem Support und KI-gestützter Post-Exploitation-Automatisierung. Organisationen, die weiterhin primär auf SMS- oder TOTP-Codes als MFA-Faktor setzen, sollten die Migration auf FIDO2 als prioritär einzustufendes Sicherheitsprojekt betrachten – nicht im nächsten Quartal, sondern jetzt.
