Neue Angriffsmethoden bedrohen Microsoft 365 & Azure-Umgebungen Wie Angreifer KI nutzen, um Microsoft-365-Konten zu übernehmen

Anbieter zum Thema

Spike Reply GmbH

Fsas Technologies GmbH

Cyberkriminelle kombinieren KI-gestütztes Phishing mit gezielten OAuth-Tricks, um Microsoft-365- und Azure-Konten zu kompromittieren. Die Angriffe zielen auf Identitäten statt Firewalls und zeigen, warum Zero Trust in der Cloud unverzichtbar ist.

Die Verlagerung von Unternehmensressourcen in die Cloud, insbesondere in Ökosysteme wie Microsoft 365 und Azure, verändert die Angriffsfläche für Cyberkriminelle grundlegend. Klassische Perimetersicherheit verliert an Relevanz, während Identitäten zum neuen Schutzwall werden. Gleichzeitig erleben wir durch den Einsatz von Künstlicher Intelligenz (KI) eine neue Evolutionsstufe von Social-Engineering-Angriffen. In diesem Beitrag analysieren wir die Anatomie eines modernen, mehrstufigen Angriffs auf Cloud-Umgebungen, der KI-gestütztes Phishing mit gezielten Techniken gegen Microsoft-Technologien kombiniert, um einen initialen Zugriff zu erlangen und sich persistent in der Zielumgebung festzusetzen.

Device Code Phishing in Entra ID

Aktive Phishing-Angriffe auf Microsoft-Konten mittels Device Code Login

Phase 1: Die Waffe der Wahl – KI-gestütztes Spear-Phishing

In den meisten Fällen ist der erste Schritt zur Kompromittierung der Mensch. Phishing ist nach wie vor der häufigste Einstiegsvektor. Doch die Qualität der Angriffe hat sich drastisch erhöht. Während früher leicht erkennbare Massen-Mails mit Gram­ma­tik­fehlern versendet wurden, setzen Angreifer heute auf KI, insbesondere auf Large Language Models (LLMs), um hochgradig personalisierte und kontextuell überzeugende Spear-Phishing-Nachrichten zu erstellen.

Diese KI-Systeme können öffentlich zugängliche Informationen aus sozialen Netzwerken (wie LinkedIn), Unternehmenswebseiten und Fachartikeln analysieren, um den Kommunikationsstil, die Interessen und das berufliche Netzwerk einer Zielperson zu verstehen. Das Ergebnis sind E-Mails, die nicht nur sprachlich perfekt sind, sondern auch inhaltlich so überzeugend sind, dass selbst geschulte Mitarbeiter ins Wanken geraten. Beispiele sind eine angebliche Einladung zu einem Microsoft Teams-Meeting von einem bekannten Geschäftspartner, eine dringende Bitte um Prüfung eines Dokuments durch den vermeintlichen Vorgesetzten oder eine gefälschte Benachrichtigung über eine neue App-Integration. Die Möglichkeiten sind grenzenlos und die Erfolgsquoten sind signifikant höher als bei traditionellen Methoden.

MFA unter Beschuss

Angreifer umgehen MFA mit gefälschten Microsoft OAuth Apps

Phase 2: Die Einfallstore – Techniken für den initialen Zugriff

Sobald das Opfer auf den präparierten Link klickt, werden spezifische Angriffstechniken eingesetzt, die auf die Funktionsweise von Microsofts Identitätsplattform (Microsoft Entra ID, ehemals Azure Active Directory) abzielen.

1. Azure Device Code Phishing:

Bei dieser Methode wird der "Device Authorization Grant Flow" (OAuth 2.0) missbraucht, der eigentlich für die Anmeldung auf gerätebeschränkten Systemen wie Smart-TVs oder IoT-Geräten gedacht ist. Der Ablauf aus Sicht des Angreifers ist perfide und effektiv:

• Initiierung: Der Angreifer startet auf seinem eigenen System einen Anmeldeversuch bei einem Microsoft-Dienst (z. B. Azure CLI) im Namen des Opfers.

• Code-Generierung: Der Microsoft-Anmeldedienst generiert einen einmaligen, kurzen Code (z. B. G5H7K9L2) und weist den Angreifer an, sich auf einem anderen Gerät zu authentifizieren. Dazu soll er die URL https://microsoft.com/link besuchen und den Code eingeben.

• Phishing: Die Phishing-Mail des Angreifers enthält nun genau diese Anweisung. Unter einem Vorwand – beispielsweise "Autorisieren Sie den Zugriff für das neue CRM-Analyse-Tool" – wird das Opfer dazu aufgefordert, die legitime Microsoft-Seite zu besuchen und den vom Angreifer bereitgestellten Code einzugeben.

• Kompromittierung: Da der Nutzer auf der echten Microsoft-Seite aktiv ist und dort bereits angemeldet ist, autorisiert er durch die Code-Eingabe unwissentlich die Sitzung auf dem Gerät des Angreifers. Der Angreifer erhält so ein gültiges Access Token und kann im Namen des Opfers agieren.

2. App Registration Phishing (Illicit Consent Grant):

Bei diesem noch subtileren Angriff wird der OAuth-2.0-Zustimmungsworkflow ausgenutzt. Hierbei erstellt der Angreifer eine bösartige, aber harmlos wirkende Multi-Tenant-App in seinem eigenen Azure-Tenant und fordert das Opfer auf, dieser App Zugriff auf seine Daten zu gewähren.

• Vorbereitung: Der Angreifer registriert eine Anwendung wie den "Office365 Scanner" oder "Productivity Tracker", und konfiguriert sie so, dass sie weitreichende Berechtigungen anfordert (Mail.ReadWrite oder Files.ReadWrite.All).

• Phishing: Die Phishing-Mail leitet das Opfer auf eine URL weiter, die den Microsoft-Zustimmungsdialog (Consent Screen) für diese bösartige App aufruft.

• Falsches Vertrauen: Der Dialog wird von Microsoft gehostet und wirkt daher vertrauenswürdig. Der Nutzer sieht den Namen der App, den (gefälschten) Herausgeber und die angeforderten Berechtigungen. In der Hektik des Alltags klicken viele Nutzer auf "Akzeptieren", um einer vermeintlich legitimen Geschäftsanwendung die Arbeit zu erlauben.

• Datenabfluss: Mit der Zustimmung des Nutzers erhält die Angreifer-App ein Access und ein Refresh Token. Damit kann sie über die Microsoft Graph API im Hintergrund und vollkommen ohne die Zugangsdaten des Nutzers auf dessen E-Mails, OneDrive-Dateien oder weitere Cloud-Ressourcen zugreifen und diese exfiltrieren.

Phishing trotz Zwei-Faktor-Authentifizierung

Erfolgreiche Hacks trotz 2FA – das können Unternehmen tun

Phase 3: Die Persistenz – Angriffe auf das Primary Refresh Token (PRT)

Das ultimative Ziel der initialen Zugriffsvektoren ist oft nicht nur ein kurzlebiges Access Token, sondern das "Kronjuwel" der Windows-Authentifizierung: das Primary Refresh Token (PRT). Das PRT ist ein spezielles Token, das an ein vertrauenswürdiges Gerät gebunden ist (via Microsoft Entra Join/Hybrid Join oder Registrierung) und für Single Sign-On (SSO) in der gesamten Microsoft-Umgebung sorgt.

Ein gestohlenes PRT versetzt einen Angreifer in die Lage, über einen langen Zeitraum hinweg neue Access Tokens für verschiedene Cloud- und On-Premises-Anwendungen anzufordern, oft sogar unter Umgehung von Multi-Faktor-Authentifizierung (MFA), da das PRT selbst bereits einen starken Authentifizierungsfaktor darstellt. Die oben genannten Phishing-Techniken sind effektive Methoden, um an Tokens zu gelangen, die letztlich zur Kompromittierung oder zum Diebstahl des PRT von einem legitimen Endgerät führen können.

Essenzielle Schutzmaßnahmen für die Cloud-Umgebung

Eine rein reaktive Verteidigung ist zum Scheitern verurteilt. Unternehmen müssen eine proaktive Zero-Trust-Sicherheitsarchitektur implementieren. Fünf Empfehlungen für Unternehmen:

1. Härtung gegen Device Code Phishing: Aktivieren Sie eine strikte Conditional Access Policy, die den Device Code Flow blockiert oder nur von vertrauenswürdigen Standorten und konformen Geräten zulässt. Für die meisten Unternehmen ist es am sichersten, diesen Flow vollständig zu deaktivieren.

2. Kontrolle über App-Zustimmungen: Konfigurieren Sie die "User consent settings" in Microsoft Entra ID. Deaktivieren Sie die Option für Standardbenutzer, neuen Anwendungen pauschal zuzustimmen. Implementieren Sie stattdessen den "Admin consent workflow", bei dem jede neue App-Registrierung von der IT-Sicherheit geprüft und freigegeben werden muss.

3. Überwachung und Hunting: Kontrollieren Sie die Audit-Logs von Microsoft Entra ID kontinuierlich auf verdächtige Aktivitäten. Achten Sie insbesondere auf:

• Anmeldungen von untypischen Standorten oder Geräten.

• Neu erteilte Zustimmungen für Drittanbieter-Anwendungen (Consent to application).

• Verdächtige API-Berechtigungen, die von Apps angefordert werden.

4. Strikte MFA-Durchsetzung: Setzen Sie eine Multi-Faktor-Authentifizierung für alle Benutzer ohne Ausnahme durch. Nutzen Sie Conditional Access Policies, um MFA bei jedem verdächtigen Anmeldeversuch (z. B. bei Risikoerkennung durch Identity Protection) erneut abzufragen.

5. Mitarbeitersensibilisierung: Schulen Sie Ihre Mitarbeiter nicht nur darin, Phishing zu erkennen, sondern auch darin, die Bedeutung von OAuth-Zustimmungsdialogen zu verstehen. Eine gesunde Skepsis gegenüber jeder unerwarteten Aufforderung zur Rechtevergabe ist unerlässlich.

Adobe- und DocuSign-Imitation-Attacken

Neue Phishing-Kampagnen missbrauchen OAuth-Apps

Fazit

Die Kombination aus psychologischer Manipulation durch KI und technischem Missbrauch legitimer Cloud-Workflows ist äußerst gefährlich. Angreifer nutzen gezielt die Komplexität und die inhärenten Vertrauensmechanismen von Plattformen wie Microsoft 365 aus. Um wirksam geschützt zu sein, sollten Unternehmen statt traditioneller Sicherheitskonzepte einen identitätszentrierten Ansatz verfolgen. Durch die konsequente Härtung von Microsoft Entra ID, das Implementieren granularer Zugriffskontrollen und ein kontinuierliches Monitoring können Unternehmen die beschriebenen Einfallstore effektiv schließen und ihre wertvollsten Daten in der Cloud sichern.

Über die Autoren

Tobias Kolb ist Senior Penetration Tester & Red Teamer bei Spike Reply.

Daniel E. Schormann ist Geschäftsführer von Spike Reply.

(ID:50614059)