Benutzerkonten in Office 365 als Angriffsziel Hacker machen sich Office 365-Tools zunutze

Anbieter zum Thema

Arvato Systems

SoSafe GmbH

Keeper Security EMEA Ltd.

Vectra Networks

Cyberkriminelle nutzen bei ihren Angriffen integrierte Office 365-Dienste um an sensible Daten zu gelangen. Das zeigt der 2020 Spotlight Report on Microsoft Office 365 von Vectra AI. Die Datengrundlage lieferte mit Zustimmung der Kunden die Auswertung von vier Millionen Microsoft Office 365-Konten, die Vectra von Juni bis August 2020 überwachte.

Cyberangriffe, die auf Software-as-a-Service (SaaS)-Benutzerkonten abzielen, sind eines der am schnellsten wachsenden und am weitesten verbreiteten Probleme für Unternehmen. Dies war schon so bevor COVID-19 die umfassende und schnelle Umstellung auf Remote-Arbeit erzwang. Microsoft hat sich diesem Bereich an die Spitze gesetzt mit mehr als 250 Millionen aktiven Benutzern pro Monat. Office 365 bildet für viele dieser Benutzer die Grundlage für das gemeinsame Arbeiten mit Unternehmensdaten und wirkt deshalb auch so anziehend auf Cyberkriminelle.

Gekaperte Benutzerkonten als Ausgangspunkt für seitliche Bewegung im Netzwerk

Benutzerkonten in Office 365 zu kapern, ist derzeit der effektivste Weg für Cyberangreifer, um sich innerhalb des Netzwerks eines Unternehmens seitlich zu bewegen. So verwundert es nicht, dass bei 96 Prozent der untersuchten Unternehmen seitliche Bewegungen von Angreifern im Netzwerk entdeckt wurden. Es ist zu erwarten, dass sich dieser Trend in den kommenden Monaten noch verstärken wird. Angreifer setzen weiterhin auf menschliches Verhalten, Social Engineering und Identitätsdiebstahl, um in Netzwerken Fuß zu fassen und letztlich Daten zu stehlen.

Trotz der zunehmenden Einführung von Sicherheitsvorkehrungen zum Schutz von Benutzerkonten wie der Multi-Faktor-Authentifizierung (MFA) haben 40 Prozent der Unternehmen immer noch mit Cyberangriffen via Office 365 zu kämpfen. Dies führt zu massiven finanziellen Verlusten und Reputationsschäden.

Angreifer können Office 365 als Einstiegspunkt nutzen, um dauerhaften Zugriff auf das Benutzersystem zu erlangen. Eine Möglichkeit hierfür besteht darin, E-Mail-Regeln einzurichten, die durch eine E-Mail mit einem bestimmten Betreff ausgelöst werden, oder auch nur den Outlook-Client zu synchronisieren. Ebenso können Hacker ein kompromittiertes Office 365-Konto in eine beständige Reverse Shell auf dem System des Benutzers verwandeln.

Angreifer arbeiten sich von der Cloud auf physische Systeme vor

Sich von der Cloud auf physische Systeme vorzuarbeiten, ist eine Technik, die die APT33-Gruppe, vermutlich vom Iran staatlich geförderte Akteure, als Angriffsmethode einsetzte. APT33 verschaffte sich über Passwortspray-Angriffe Zugang zu Office 365. Mithilfe von Mail-Regeln haben die Angreifer dann eine Reverse Shell auf den Systemen der kompromittierten Benutzer eingerichtet. Einmal im physischen Netzwerk angekommen, führte APT33 einen Standardangriffspfad auf physische Systeme aus, um Domain-Administrator-Rechte zu erlangen. Dieser Angriff zeigte, dass cloudbasierte Systeme die Einstiegspunkte und physische Systeme das eigentliche Ziel waren.

Geübte Cyberangreifer sind auch sehr geschickt darin, MFA für Office 365 zu umgehen. Social-Engineering-Techniken sind eine gängige Taktik, um Benutzer dazu zu bringen, bösartige Azure-Apps zu installieren. Wie bei mobilen Anwendungen akzeptieren Benutzer Genehmigungsanfragen, die der Anwendung und dem Angreifer ungehinderten Zugang zu Ressourcen gewähren. Der Zugriff kann 90 Tage lang ohne zwischenzeitliche Authentifizierungsprobleme bestehen bleiben, selbst wenn das Passwort geändert wird. Diese Angriffsmethode, die vor allem Akteuren aus China zugeschrieben wird, wurde bereits gegen australische Unternehmen eingesetzt. Der Social-Engineering-Trick bestand darin, eine App von MailGuard 365 zu fälschen, eine Sicherheitsanwendung, die von den Zielunternehmen bereits verwendet wurde. Einmal installiert, erhielten die Angreifer dauerhaften Zugriff, konnten Benutzerprofile lesen und E-Mails manipulieren.

Am kritischsten ist, dass die Angreifer legitime Tools und Funktionen von Office 365 nutzen, um verborgen zu bleiben und Sicherheitskontrollen zu umgehen. Zwei Office 365-Tools sind für Angreifer von besonders hohem Wert: Power Automate und eDiscovery Compliance Search. So hat Vectra bei 71 Prozent der beobachteten Unternehmen verdächtiges Verhalten im Zusammenhang mit Office 365 Power Automate festgestellt. Bei 56 Prozent der Unternehmen kam es zu verdächtigem Verhalten bei Office 365 eDiscovery.

Der Kontext ist entscheidend – KI kann hier helfen

Es reicht nicht aus, sich allein auf das gewährte Privileg einer Entität zu verlassen oder sich auf die Zuweisung von Privilegien zu verlassen. Sicherheitsteams müssen über einen detaillierten Kontext verfügen, wie und von wo aus Benutzer auf die Ressourcen von Office 365 zugreifen. Es geht um Nutzungsmuster und Verhaltensweisen, nicht um den statischen Zugriff. Ein wachsames Auge auf den Missbrauch des Benutzerzugriffs zu haben, kann angesichts der Häufigkeit von Angriffen in der realen Welt nicht hoch genug eingeschätzt werden. Die Erkennung von Bedrohungen und die Reaktion darauf mithilfe künstlicher Intelligenz hat sich als effektiv erwiesen, um den Anforderungen an die SaaS-Sicherheit der Unternehmen gerecht zu werden.

Über den Autor: Andreas Müller ist Regional Sales Director DACH bei Vectra AI.

(ID:47267202)