Mobile-Menu

Device Code Phishing in Entra ID Aktive Phishing-Angriffe auf Microsoft-Konten mittels Device Code Login

Von Thomas Joos 4 min Lesedauer

Anbieter zum Thema

SEPPmail - Deutschland GmbH
FTAPI Software GmbH

Derzeit gibt es eine sehr aktive Phishing-Kampagne, die sich auf das Microsoft Device-Code-Anmeldeverfahren konzentriert. Angreifer versuchen gefälschte Microsoft-Anmelde-Codes zu erstellen und damit an gültige Anmelde-Token zu gelangen.

Klassische Phishing-Methoden verlieren durch moderne Schutzmethoden zunehmend an Wirkung. Mit Device Code Phishing umgehen Angreifer allerdings viele dieser Schutzmaßnahmen.(Bild: James Thew - stock.adobe.com)
Klassische Phishing-Methoden verlieren durch moderne Schutzmethoden zunehmend an Wirkung. Mit Device Code Phishing umgehen Angreifer allerdings viele dieser Schutzmaßnahmen.
(Bild: James Thew - stock.adobe.com)

Die Gerätecodeanmeldung (Device Code Login) in Microsoft-Produkten ermöglicht es Benutzern, sich an Geräten mit eingeschränkten Eingabemöglichkeiten wie IoT-Geräten zu authentifizieren. Dabei initiiert die Anwendung eine Anfrage an den Authentifizierungsserver, um einen Geräte- und Benutzercode zu erhalten. Der Benutzer wird aufgefordert, mit einem anderen internetfähigen Gerät eine bestimmte URL aufzurufen und dort den bereitgestellten Code einzugeben. Nach erfolgreicher Anmeldung kann das ursprüngliche Gerät Access Token und Refresh Token für den Zugriff auf geschützte Ressourcen erhalten. Dieses Verfahren gewährleistet eine sichere Authentifizierung auf Geräten ohne eigene Eingabemöglichkeiten. Allerdings steht dieses Verfahren aktuell im Fokus von Angreifern.

So funktioniert Device Code Phishing

Cyberkriminelle haben längst erkannt, dass klassische Phishing-Methoden zunehmend an Wirkung verlieren. Nutzer werden vorsichtiger, Sicherheitsmechanismen wie Multi-Faktor-Authentifizierung erschweren direkte Angriffe. Mit Device Code Phishing haben Angreifer jedoch eine Technik etabliert, die selbst erfahrene Nutzer täuschen kann. Diese Methode nutzt den so genannten Device Code Flow, ein Authentifizierungsverfahren, das eigentlich dazu gedacht ist, die Anmeldung an Geräten ohne grafische Benutzeroberfläche zu vereinfachen. Microsoft Entra ID unterstützt dieses Verfahren standardmäßig - und genau das machen sich die Angreifer zunutze.

Bildergalerie

Bei einem typischen Angriff generiert der Angreifer zunächst einen legitimen Device Code und sendet diesen über eine Phishing-Nachricht an das Opfer. Die Aufforderung, den Code auf einer vermeintlich harmlosen Microsoft Login-Seite einzugeben, erweckt den Eindruck eines normalen Authentifizierungsprozesses. Der Benutzer gibt den Code gutgläubig ein, authentifiziert sich und übergibt damit ungewollt ein gültiges Zugangs-Token an den Angreifer. Während herkömmliches Phishing oft an Sicherheitsmechanismen wie domänenbasierter Erkennung oder Zwei-Faktor-Authentifizierung scheitert, umgehen Angreifer mit dieser Technik viele dieser Schutzmaßnahmen. Einmal erbeutete Token ermöglichen es dem Angreifer, sich im Namen des kompromittierten Nutzers einzuloggen, E-Mails abzurufen oder andere interne Dienste zu missbrauchen.

Microsoft hat kürzlich eine Veränderung beobachtet: Angreifer nutzen den Microsoft Authentication Broker, um erbeutete Tokens zu erneuern und Geräte direkt bei Entra ID zu registrieren. Dadurch erhalten sie nicht nur einmaligen Zugang, sondern können sich dauerhaft in Unternehmensnetzwerken einnisten. Der Microsoft Authentication Broker ist eine Systemkomponente, die zur sicheren Authentifizierung von Microsoft-Diensten auf Windows-Geräten dient. Er ermöglicht die geräteübergreifende Anmeldung und erleichtert die Verwaltung von Zugriffstokens, insbesondere bei Cloud-Diensten wie Microsoft Entra ID. Angreifer können diesen Mechanismus jedoch missbrauchen, indem sie gestohlene Zugriffstokens nutzen, um neue Geräte in Entra ID zu registrieren und so langfristigen Zugriff auf kompromittierte Netzwerke zu erhalten.

Storm-2372: Ein gezielter Angriff auf Entra ID

Besonders alarmierend ist, dass Microsoft kürzlich eine aktive Storm-2372 Kampagne identifiziert hat. Diese Gruppe, die höchstwahrscheinlich mit russischen Interessen in Verbindung steht, nutzt Device Code Phishing, um gezielt Regierungsstellen, NGOs sowie Unternehmen aus der IT-, Telekommunikations- und Verteidigungsbranche anzugreifen. Die Angreifer geben sich oft als bekannte Persönlichkeiten aus und nutzen Messaging-Dienste wie Signal, WhatsApp oder Microsoft Teams, um Vertrauen aufzubauen. Erst wenn sich das Opfer in Sicherheit wiegt, folgt die eigentliche Phishing-Aktion. Die getäuschten Nutzer geben ihre Zugangsdaten über ein manipuliertes Meeting-Einladungssystem weiter, ohne zu ahnen, dass die Authentifizierung in Wirklichkeit vom Angreifer kontrolliert wird.

Persistenter Zugang durch registrierte Geräte

Ein weiteres beunruhigendes Detail betrifft die Verwendung des Microsoft Authentication Brokers durch Storm-2372. Microsoft hat beobachtet, dass sich die Angreifer nicht nur mit erbeuteten Zugangs-Tokens zufrieden geben, sondern aktiv neue Geräte in Entra ID registrieren, um persistenten Zugang zu erlangen. Dabei nutzen sie regionale Proxy-Server, um verdächtige Anmeldeversuche zu verschleiern. Die Möglichkeit, ein kompromittiertes Gerät in die Unternehmensumgebung einzuschleusen, erlaubt es den Angreifern, sensible Daten über einen längeren Zeitraum zu exfiltrieren und weitere Angriffe innerhalb der Infrastruktur vorzubereiten. Darüber hinaus wurde festgestellt, dass Angreifer über die Microsoft Graph API gezielt nach E-Mails mit Schlüsselwörtern wie Passwort, Admin oder Credentials suchen, um weiteren Schaden anzurichten.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Schutzmaßnahmen gegen Device Code Phishing

Unternehmen sollten Conditional Access Policies verwenden, um den Device Code Flow so weit wie möglich zu deaktivieren. In diesem Fall sollten strenge Zugriffskontrollen implementiert werden, um nur autorisierten Geräten die Nutzung zu erlauben. Zusätzlich sollten Sign-In Risk Policies eingesetzt werden, um verdächtige Anmeldeversuche zu erkennen und darauf zu reagieren.

Eine weitere zentrale Maßnahme ist die Sensibilisierung der Mitarbeiter. Nutzer sollten lernen, Phishing-Versuche frühzeitig zu erkennen und keine unbekannten Codes auf Login-Seiten einzugeben. Unternehmen sollten zudem regelmäßig Audit-Logs überprüfen und ungewöhnlichen Aktivitäten nachgehen, wie etwa dem plötzlichen Auftauchen neuer Geräte oder ungewöhnlichen Anmeldeorten. Im Verdachtsfall sollten alle aktiven Tokens widerrufen und die betroffenen Nutzer zu einer erneuten Authentifizierung gezwungen werden.

Fazit: Anpassungsfähige Angreifer erfordern neue Schutzstrategien

Die Tatsache, dass ein so grundlegendes und weit verbreitetes Authentifizierungsverfahren missbraucht werden kann, zeigt, wie anpassungsfähig Bedrohungsakteure agieren. Unternehmen sollten daher ihre Sicherheitsrichtlinien kontinuierlich überprüfen und moderne Schutzmechanismen wie Phishing-resistente Authentifizierungsmethoden einsetzen. Der Device Code Flow sollte möglichst vollständig deaktiviert werden, um Angriffe zu verhindern. Durch die konsequente Umsetzung von Conditional Access Policies und eine klare Risikobewertung kann das Bedrohungspotenzial deutlich reduziert werden. Die jüngsten Entwicklungen rund um Storm-2372 zeigen, dass diese Bedrohung real ist und Unternehmen schnell reagieren müssen, um ihre digitalen Identitäten effektiv zu schützen.

(ID:50335936)

Weiterführende Inhalte