MFA-Aushebelung auf dem Vormarsch SSO-Phishing-Kampagne trifft 18 US-Universitäten

Anbieter zum Thema

Infoblox Germany GmbH

Fujitsu Technology Solutions GmbH

Multi-Faktor-Authentifizierung (MFA) schützt laut Microsoft 99 Prozent aller Geschäftskonten. Doch Cyberkriminelle finden Wege, MFA auszuhebeln. Seit April 2025 wurden mindestens 18 US-Universitäten über gefälschte SSO-Portale mit dem MitM-Framework Evilginx attackiert – trotz aktivierter MFA.

Multi-Faktor-Authentifizierung (MFA) gilt als sehr sicher und ist in vielen Unternehmen des­halb Standard für eine bessere Cybersecurity. Und laut einer Studie von Microsoft bleiben auch 99 Prozent der untersuchten Geschäftskonten durch MFA geschützt. Doch obwohl MFA unbefugte Zugriffe deutlich erschwert, bietet auch sie keine vollständige Sicherheit. Cyber­kri­mi­nel­le können MFA aushebeln und Systeme trotzdem kompromittieren, insbesondere über Social Engineering und fehlerhafte oder schwach konfigurierte Implementierungen. Und solche Fälle nehmen zu. Einen aktuellen Sicherheitsvorfall, bei dem die Multi-Faktor-Au­then­ti­fi­zie­rung außer Kraft gesetzt wurde, haben die Experten von Infoblox Threat Intel (ITI) aufgedeckt: Mindestens 18 US-Universitäten wurden seit April 2025 in einer groß angelegten SSO-Phishing-Kampagne mittels Evilginx attackiert.

Phishing trotz Zwei-Faktor-Authentifizierung

Erfolgreiche Hacks trotz 2FA – das können Unternehmen tun

Gängige Methoden und ihre Gegenmaßnahmen

Im vorliegenden Fall nutzten die Angreifer Evilginx, ein Open-Source-Framework für fortgeschrittenes Man-in-the-Middle Phishing (MiTM), um echte Anmeldedaten und Sitzungscookies zu stehlen. Cyber­kri­mi­nel­le verwenden Evilginx häufig, um MFA-Sicherheitsmaßnahmen zu umgehen. Die ersten Social-Engineering-Angriffe wurden per E-Mail durchgeführt, wobei eingebettete Links zu Phishing-Subdomains führten, die legitime SSO-Websites imitierten.

Evilginx setzt mehrere Verschleierungstechniken ein, wodurch die Malware mit her­kömm­li­chen Methoden schwer zu erkennen und zu analysieren ist. Zum Beispiel konfigurierten die Angreifenden das Toolkit so, dass es kurzlebige Phishing-URLs verwendet und seine Server hinter Cloudflare-Proxys versteckt. In Kombination mit den Reverse-Proxy-Eigenschaften von Evilginx stellen diese Taktiken eine Herausforderung für herkömmliche Erkennungsmethoden in Sicherheitsscannern wie URL-Analyse und Front-End-Code-Inspektion (HTML, CSS, JavaScript) dar.

Dennoch weisen die Angriffe konsistente DNS-Muster auf, die es ermöglichen, eine Signatur für eine effektive, kontinuierliche Verfolgung unter Verwendung von an­fäng­lich­em Webserver-Fingerprinting und umfangreichen DNS-basierten Analysen zu erstellen. Infoblox Threat Intel rekonstruierte so rund 70 Domains, die zwischen April und November 2025 aktiv waren. Auf dieser Basis entwickelten sie Tracking-Mechanismen, um zukünftige Aktivitäten zu identifizieren. Dies zeigt, dass sich mit Hilfe des DNS bösartige Infrastrukturen aufdecken lassen, die sonst nur sehr schwer zu erkennen sind. Die Ergebnisse lassen sich nutzen, um Unternehmen präventiv vor Kompromittierungen, einschließlich Datenverletzungen, zu schützen.

MFA schützt nicht vor Tycoon 2FA mit PaaS-Ansatz

Gezielte Phishing-Angriffe auf Gmail und Microsoft 365

Gezielte Phishing-Mails an Studierende

Die von den Attacken betroffenen Studierenden wurden über personalisierte E-Mails mit TinyURL-Links angegriffen. Diese leiteten zu sehr guten Kopien der jeweiligen SSO-Portale – inklusive universitärer Branding-Elemente und individueller Subdomains. Diese URLs liefen innerhalb von 24 Stunden ab, um einer Entdeckung zu entgehen. Klicken Opfer auf die Phishing-URL, führt Evilginx die üblichen Anmeldeabläufe täuschend echt fort, sodass der Datenverkehr normal erscheint und die MFA umgangen wird.

Der entscheidende Faktor bei diesen Angriffen ist der Mensch. Phishing, aber auch gefälschte Support-Anrufe, täuschend echte Login-Seiten und SIM-Swap-Szenarien, wollen Auf­merk­sam­keit erzeugen sowie Zeitdruck und Autorität vortäuschen, damit die Angegriffenen auf den Betrug hereinfallen. Zusätzlich werden technische Schutzmechanismen unterlaufen, um nicht entdeckt zu werden. So lässt sich in der Praxis selbst eine gut eingeführte MFA umgehen, wenn Mitarbeitende oder Studierende nicht für aktuelle Angriffsversuche sensibilisiert sind und keine Sicherheitsanalyse von DNS-Daten stattfindet.

MFA unter Beschuss

Angreifer umgehen MFA mit gefälschten Microsoft OAuth Apps

DNS als Indikator

Gerade bei Hochschulen und anderen Bildungseinrichtungen können Cyberkriminellen die dort übliche komplexe IT-Infrastruktur bei gleichzeitig limitierten Sicherheitsmaßnahmen ver­gleichs­wei­se einfach angreifen. Zum Beispiel werden hier viele unbekannte BYOD- oder IoT-Geräte mit hoher Benutzerfluktuation verwaltet. Da sich die oft privaten Endgeräte kaum vollständig kontrollieren lassen, bietet DNS-basierte Sicherheit diesen Einrichtungen netzwerkseitig – unabhängig vom Endgerät – Sichtbarkeit und Kontrolle. Dazu muss keine invasive Software auf Endgeräten genutzt werden. DNS-basierte Signale decken Token Theft, kompromittierte Konten und Traffic-Anomalien im internen DNS auf. So können erfolgreiche MFA-Aushebelungen gestoppt werden.

Fazit

Angriffe zielen heute oft auf Identitäten, Sessions und Menschen. Dabei sind Universitäten ein beliebtes Ziel für Cyberkriminelle. Protective DNS ist eine der wenigen Sicherheitsmaßnamen, die sowohl vor als auch nach erfolgreicher MFA-Umgehung Angriffsaktivitäten entlarvt und stoppt, indem es Anomalien und verdächtige Muster erkennt. Es ergänzt ein Zero Trust-Konzept und MFA, um verborgene Cyberbedrohungen wie Malware-Kommunikation, Command-and-Control (C2)-Kanäle, DNS-Tunneling und Phishing-Versuche zu entdecken, noch bevor sie großen Schaden anrichten können.

Über den Autor: Wolfgang Huber ist Senior Director Regional Sales Central Europe bei Infoblox.

privacyIDEA Workshop – Teil 1

So geht Mehr-Faktor-Authentifizierung mit Open Source

(ID:50806322)