Check Point Research (CPR), die Sicherheitsforschungsabteilung von Check Point Software Technologies hat eine neue Phishing-Taktik von Angreifern aufgedeckt und analysiert, die sich Microsofts Infrastruktur zunutze macht und deren Vertrauenswürdigkeit ausnutzt.
Vom 25. Juni bis in die zweite Juliwoche identifizierte CPR mehr als 200 Phishing-E-Mails, die sich an Nutzer in rund 120 Organisationen richteten und dabei ein breites Spektrum an Branchen und Ländern weltweit abdeckten. Die Angriffe gaben vor, über Microsoft-Teams zugestellte Aufgabenbenachrichtigungen von der Personalabteilung zu sein, und leiteten die Empfänger auf eine legitime Microsoft-Anmeldeseite weiter. Die Opfer wurden anschließend aufgefordert, einer vom Angreifer kontrollierten Anwendung Berechtigungen zu erteilen, wodurch die Kampagne den vertrauenswürdigen Authentifizierungsablauf von Microsoft missbrauchen und gleichzeitig ihre böswillige Absicht verbergen konnte.
Der Inhalt des Köders
Die Teams-Benachrichtigung gibt wiederum vor, über eine neue Aufgabenzuweisung in Microsoft-Planner zu benachrichtigen. Der Absendername lautet „Es gibt neue Aktivitäten im Team“ und die Betreffzeile lautet „HR@[Unternehmen].com hat 3 Nachrichten über den Teams-Chat gesendet“. Der Nachrichtentext ahmt das Design von Teams sehr genau nach und verweist auf ein „Update zu Gehaltsabrechnung, Vergütung und Zusatzleistungen“ sowie auf einen Zähler mit der Angabe „4 überfällige Mitarbeiteraufgaben“. Letzterer soll Dringlichkeit suggerieren und zu einem unbedachten Klick animieren. Jeder Link in der Nachricht, einschließlich der beiden Aktionsschaltflächen, führt über dieselbe Weiterleitung. Die sichtbare Absenderadresse gehört ebenfalls zur Organisation des Ziels, was bedeutet, dass die E-Mail an dieselbe Person gesendet wird, von der sie scheinbar stammt.
Die Taktik ist bereits weit verbreitet und gewinnt zunehmend an Bedeutung. Sie ist im MITRE ATT&CK-Framework als eigene Taktik benannt und erfasst, und im Jahr 2026 entwickelte sie sich von einem gezielten, manuell erstellten Angriff zu einem Dienst, den praktisch jeder mieten kann.
Auswirkungen auf Einzelpersonen oder Unternehmen:
Je nachdem, welche Berechtigungen der Benutzer auf dem Einwilligungsbildschirm gewährt, kann die vom Angreifer kontrollierte App in der gesamten Microsoft 365-Umgebung des Opfers agieren:
- E-Mail: Lesen, Suchen und Senden aus dem Postfach des Opfers (ein gängiges Sprungbrett für nachfolgende BEC-Betrugsversuche von einer vertrauenswürdigen internen Adresse aus).
- Dateien: alle Dokumente, die der Nutzer öffnen, herunterladen oder freigeben kann.
- Teams: Chats, Nachrichten und gemeinsame Unterhaltungen.
- Sharepoint: Unternehmenswebsites, Dokumentbibliotheken und interne Inhalte, auf die der Nutzer Zugriff hat.
- Onedrive: der persönliche Cloud-Speicher des Nutzers.
- Kalender: Besprechungen, Einladungen und Teilnehmerdaten (nützlich für die Erkundung und die zeitliche Abstimmung überzeugender Folge-Köder).
Aufgrund dieser Erkenntnisse geht CPR davon aus, dass die Angreifer Microsoft nicht mehr imitieren, sondern die Dienste des Unternehmens nun direkt nutzen. Jeder Bildschirm, den das Opfer sieht, ist authentisch und das Einzige, was in der gesamten Angriffskette gefälscht ist, ist die Absicht hinter der App, die Zugriff anfordert.
Die Kampagne ist zwar nicht mehr aktiv, stellt jedoch ein weiteres Beispiel dafür dar, wie Angreifer ihre Vorgehensweise grundlegend geändert haben, um herkömmliche Phishing-Abwehrmaßnahmen zu umgehen.
Empfehlungen für Unternehmen und Anwender:
- Den Mauszeiger über Links bewegen, bevor man darauf klickt, und prüfen, ob das Ziel mit dem in der Nachricht genannten Dienst übereinstimmt. Man sollte immer misstrauisch sein, wenn verschiedene Schaltflächen zur gleichen URL führen.
- Überprüfen, ob Absendername, -adresse und -domain übereinstimmen.
- Einer E-Mail nicht vertrauen, nur weil sie scheinbar von einer internen Adresse stammt. Anzeigenamen und Absenderadressen können gefälscht oder manipuliert werden.
- Im Zweifelsfall Teams oder andere Anwendungen direkt über die offizielle App öffnen, anstatt Links in der E-Mail zu verwenden.
- Verdächtige Nachrichten sofort melden. Eine frühzeitige Meldung ermöglicht es Sicherheitsteams, die Anwendung zu untersuchen, böswillige Einwilligungen zu widerrufen, betroffene Konten zu identifizieren und damit verbundene Kampagnenaktivitäten zu blockieren.
Info: Weitere Informationen finden sich im Blog: https://blog.checkpoint.com/email-security/attackers-are-turning-microsofts-trusted-login-system-into-their-latest-phishing-weapon/
#CheckPoint
