Forschende von Arctic Wolf haben eine groß angelegte Kampagne zum Diebstahl und zur Erpressung von Daten aufgedeckt, die sich gegen Nutzer von Microsoft 365 und anderen Cloud-SaaS-Plattformen richtet. Der Bedrohungs-Cluster, der unter der Bezeichnung PREY-0058 verfolgt wird, nutzt eine Kombination aus drei Techniken: telefonisches Phishing (Vishing) im Namen des internen IT-Supports, das Abfangen von Sitzungstokens über ein „Gegner-in-der-Mitte“-Schema (Adversary-in-the-Middle, AitM) sowie die Wiederverwendung gestohlener Sitzungen über Residential-Proxys. Hauptziele sind Führungskräfte der obersten Ebene: Direktoren, Vice Presidents und andere Personen mit privilegiertem Zugriff auf Unternehmensdaten. Organisationen, die Microsoft 365, SharePoint, OneDrive, Exchange und Box verwenden, wird empfohlen, umgehend ihre Conditional-Access-Richtlinien zu überprüfen und eine phishingsichere Multi-Faktor-Authentifizierung einzuführen.
Angriffsablauf: vom Anruf bis zur Exfiltration
Den Angaben von Arctic Wolf zufolge beginnt die Angriffskette mit einem Telefonanruf, bei dem sich die Angreifer als Mitarbeitende des internen IT-Teams oder des Supports ausgeben. Das Opfer wird auf eine Phishing-URL geleitet, die nach dem Muster <opfer-organisation>.<koeder-domain> aufgebaut ist. Die Köder-Domains imitieren Verfahren zur Einrichtung von MFA und Passkeys:
- assignpasskey[.]com
- mfaregister[.]com
- nowsso[.]com
- oskeysetup[.]com
- oursso[.]com
- passkey-mfa[.]com
- passkeydeploy[.]com
- registermymfa[.]com
- setpasskey[.]com
Die genannten Domains sind nur ein Teil der rotierenden Infrastruktur. Die Analyse von Subdomains ergab Hunderte von Einträgen, die reale Unternehmen imitieren.
Die Phishing-Seite ist ein vom Operator gesteuerter Microsoft-365-Authentifizierungsfluss, der nach dem AitM-Schema arbeitet. Er fängt nicht nur Zugangsdaten ab, sondern auch MFA-Bestätigungen, was den Erhalt eines authentifizierten Sitzungstokens ermöglicht. Anschließend werden die gestohlenen Tokens über eine Residential-Proxy-Infrastruktur wiederverwendet, insbesondere den Dienst NodeMaven, wobei die IP-Adressen so gewählt werden, dass sie dem geografischen Standort und der Autonomen Systemnummer (ASN) des Opfers entsprechen – dies erschwert die Erkennung von Anomalien auf Basis der Geolokation.
Aktivitäten nach der Kompromittierung
Nachdem sie Zugriff auf die Sitzung erlangt haben, beginnen die Angreifer mit der Aufklärung über Microsoft-Anwendungen: My Signins, My Profile, My Apps, OfficeHome und Microsoft Account Controls v2. Diese Portale liefern Informationen über das Konto und die verfügbaren Anwendungen.
Der nächste Schritt ist das Auffinden von Ressourcen in SharePoint und die Auflistung des Entra ID-Verzeichnisses. In SharePoint werden Ereignisse vom Typ SearchQueryPerformed mit den Parametern contentclass:STS_Site, contentclass:STS_Web und Platzhalterabfragen unter Verwendung von indexdocid zur Seitennavigation beobachtet. In Entra ID untersuchen die Angreifer Benutzerflows, API-Connectoren, Identitätsanbieter und Benutzerattribute.
Der abschließende Schritt ist die massenhafte Exfiltration von Daten aus SharePoint, OneDrive, Exchange und Box, woraufhin die Opfer mit Lösegeldforderungen konfrontiert werden.
Weitere Indikatoren einer Kompromittierung
Neben den Köder-Domains haben die Forschenden die folgenden IOC beobachtet:
- IP der Steuerungsoberfläche: 31[.]42[.]184[.]213 (die Infrastruktur kann rotieren)
- User-Agent bei der Exfiltration: Microsoft.Graph.Client/6.0.3, python-httpx/0.28.1, python-requests/2.28.1
- User-Agent beim Login: python-requests/2.33.1, python-requests/2.34.2
- Exchange-Signatur: ClientAppId
9199bf20-a13f-4107-85dc-02114787ef48in Kombination mit der API IDc999ed3e-27ae-4cb3-b3a2-46b056af63d3in MailItemsAccessed-Ereignissen
User-Agent-Strings sind für sich genommen kein Beweis für bösartige Aktivitäten – sie sollten mit dem Umfang der Vorgänge, zeitlichen Mustern und Quell-IP-Adressen korreliert werden.
Besondere Merkmale der Kampagne
Ein zentrales Merkmal von PREY-0058 ist das vollständige Fehlen einer Installation von Schadsoftware auf Endpunkten sowie eines lateralen Netzwerkbewegens in den beobachteten Fällen. Der gesamte Angriff spielt sich ausschließlich in der Cloud-Ebene ab: Identifizierung → Datenzugriff → Exfiltration. Dadurch bleibt die Kampagne für klassische Endpoint-Schutzlösungen (EDR) und netzwerkbasierte Intrusion-Detection-Systeme praktisch unsichtbar.
Zu beachten ist, dass sich diese Beobachtung auf die analysierten Fälle bezieht und die Nutzung anderer Methoden in weiteren Vorfällen nicht ausschließt.
Zielbranchen und Geografie
Nach Angaben der Forschenden konzentrieren sich die Opfer überwiegend auf die USA und stammen aus folgenden Branchen:
- Bau und Ingenieurwesen
- Gesundheitswesen und Pharma
- Immobilien und Property Management
- Finanzsektor
- Professionelle Dienstleistungen
Eine quantitative Schätzung der Zahl der Opfer wird in der Quelle nicht angegeben.
Empfehlungen zum Schutz
Arctic Wolf schlägt folgende Maßnahmen zur Abwehr dieser Bedrohung vor:
- Conditional-Access-Richtlinien (Conditional Access): Anmeldung nur von verwalteten oder den Richtlinien entsprechenden Geräten verlangen, um das Wiedergeben von Tokens von beliebigen Hosts zu blockieren.
- Phishingsichere MFA: Umstieg auf FIDO2/Passkey- oder zertifikatsbasierte Authentifizierung anstelle von Push-Benachrichtigungen und SMS, die über AitM abgefangen werden können.
- Continuous Access Evaluation: ermöglicht das Echtzeit-Widerrufen von Tokens bei Erkennung von Anomalien.
- Rechte-Minimierung in SharePoint: Die Beschränkung des Datenvolumens, auf das jeder Benutzer zugreifen kann, reduziert das mögliche Ausmaß einer Exfiltration.
- Schulung von Mitarbeitenden und IT-Support: Das Personal sollte über Vishing-Taktiken informiert sein und Anrufe der vermeintlichen „IT-Abteilung“ über unabhängige Kanäle verifizieren können.
Zentrale Erkennungspunkte
Für Monitoring-Teams ist es entscheidend, Folgendes im Blick zu behalten: ungewöhnliche Wiederverwendung von Tokens über Residential-Proxys, massenhafte Discovery- und Download-Anfragen in SharePoint, Batch-Zugriffe auf Exchange-Postfächer sowie das Auftauchen neuer Domains mit Authentifizierungsbezug in DNS- und Proxy-Logs.
Die Kampagne PREY-0058 zeigt einen ausgereiften operativen Ansatz, bei dem der gesamte Angriff über Cloud-Identitäten umgesetzt wird, ohne einen einzigen Artefakt auf Endpunkten zu hinterlassen. Organisationen, die auf Microsoft 365 setzen, sollten vorrangig phishingsichere MFA und Conditional-Access-Richtlinien mit Bindung an verwaltete Geräte einführen – genau diese beiden Maßnahmen durchbrechen die Angriffskette in einem sehr frühen Stadium und machen sowohl den Token-Diebstahl als auch deren anschließende Wiederverwendung über Proxys wirkungslos.
