Mobile-Menu

E-Mails von microsoft-noreply@microsoft.com Angreifer tricksen Opfer mit echten Systemnachrichten von Microsoft aus

Quelle: Pressemitteilung 2 min Lesedauer

Anbieter zum Thema

KnowBe4 Germany GmbH
PresseBox - unn | UNITED NEWS NETWORK GmbH
SEPPmail - Deutschland GmbH
FTAPI Software GmbH

Ein simpler, aber überaus raffinierter Trick ermöglicht es Cyberkriminellen, Anwender dazu zu bringen, Malware-belastete Dokumente zu öffnen. Als Köder dienen automatisierte Benachrichtigungen von Microsoft per E-Mail, die auf eine geteilte Datei hinweisen.

Cyberkriminelle eröffnen ein echtes Microsoft-Konto und teilen mit ihren Opfern Dateien, die Malware enthalten. Damit die Empfänger diese auch wirklich anklicken, nutzen die Angreifer legitime Systemnachrichten von Microsoft als Köder.(Bild: Andrey Popov - stock.adobe.com)
Cyberkriminelle eröffnen ein echtes Microsoft-Konto und teilen mit ihren Opfern Dateien, die Malware enthalten. Damit die Empfänger diese auch wirklich anklicken, nutzen die Angreifer legitime Systemnachrichten von Microsoft als Köder.
(Bild: Andrey Popov - stock.adobe.com)

Das Threat-Labs-Team des Security-Awareness-Spezialisten Knowbe4 beobachteten Anfang März 2025 einen massiven Anstieg von Phishing-Angriffen festgestellt, die von legitimen Microsoft-Domains ausgingen. Innerhalb von 30 Minuten hätten die Experten 7.000 Angriffe registriert, die über die E-Mail-Adresse microsoft-noreply@microsoft.com ausgingen.

Phishing-Nachrichten über legitimes Microsoft-Konto

Das Team sei in der Lage gewesen, diese besonders raffinierte Taktik nachzuvollziehen, bei dem die Infrastruktur von Microsoft ausgenutzt wurde, um Phishing-E-Mails zu versenden:

  • 1. Zuerst hätten sich die Angreifer ein legitimes Abonnement bei Microsoft 365 eingerichtet, dafür könnte auch eine kostenlose Testphase gereicht haben.
  • 2. Bei der Einrichtung des Kontos fordert Microsoft den Neukunden ein, den Namen der zugehörigen Organisation einzugeben. Die Cyberkriminellen hätten hier den Satz „Ihr Abonnement wurde erfolgreich für 689,89 USD über Ihr Girokonto erworben. Wenn Sie diese Transaktion nicht autorisiert haben, rufen Sie bitte [Telefonnummer] an, um eine Rückerstattung zu beantragen“ angegeben.
  • 3. Dann hätten die Akteure angebliche Rechnungen für Abonnements in Form eines PDFs oder auch nur eine leere Datei, die Schadcode enthalte, zum Beispiel bei OneDrive hochgeladen.
  • 4. Um dieses schadhafte Dokument mit ihrem Opfer zu teilen, hätten die Kriminellen nun über die Teilen-Funktion die E-Mail-Adresse ihres Opfers eingegeben.
  • 5. Das Opfer hätte dann eine automatisch generierte E-Mail von Microsoft bekommen, in der es darüber benachrichtigt wurde, dass ein Dokument mit ihm geteilt worden sei.

Da die Cyberkriminellen das schädliche Dokument über einen echten Microsoft-Account hochgeladen hatten, sei die Systemnachricht von Microsoft von der Domain microsoft-noreply@microsoft.com legitim. Die Systemnachricht, die beim Opfer angekommen sei, enthielt also als technischen Absender die Micrsoft No-reply-E-Mail-Adresse. In E-Mail-Clients wie Outlook, Gmail oder Apple Mail würde zudem auch die Organisation angezeigt, von der die Nachricht stammt. In Falle dieser Angriffskampagne sei den Opfern dann folgendes angezeigt worden:

Von: Microsoft OneDrive <microsoft-noreply@microsoft.com>
Im Auftrag von: Ihr Abonnement wurde erfolgreich für 689,89 USD über Ihr Girokonto erworben. Wenn Sie diese Transaktion nicht autorisiert haben, rufen Sie bitte [Telefonnummer] an, um eine Rückerstattung zu beantragen
Betreff: XYZ hat eine Datei mit Ihnen geteilt

Diese Vorgehensweise ist Knowbe4 zufolge äußerst raffiniert und verdeutliche, wie weit Cyberkriminelle bereit seien zu gehen, um ihre Ziele zu erreichen. Auch andere vertrauenswürdige Plattformen, wie DocuSign, PayPal, Google Drive und Salesforce, würden immer häufiger für solche Vorgehen ausgenutzt. Um dieser Art von Angriffen begegnen zu können, brauche es Nutzer-Schulungen und Anti-Phishing-Lösungen.

(ID:50366407)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte