Aktive Phishing-Kampagne auf Basis einer gefälschten M365-App („prod-mmind“)

In den vergangenen Wochen hat unser SOC einen deutlichen Anstieg erfolgreicher Phishing-Angriffe auf dem italienischen Markt beobachtet, die durch ein wiederkehrendes Muster gekennzeichnet sind: Ausgenutzt werden hierbei die Anmeldemechanismen von Microsoft 365 sowie die Verteilung bösartiger Anwendungen.

Diese Kampagne ist darauf ausgelegt, einen dauerhaften Zugriff auf sensible Nutzerdaten zu erlangen und die Infektionskette eigenständig durch weitere Weiterleitungen und neue Kompromittierungen fortzusetzen.

Analyse der Kampagne durch das SOC von Cyberlys

Die laufenden Monitoring-Aktivitäten haben es ermöglicht, den typischen Ablauf der Kampagne zu rekonstruieren und einen systematischen Einsatz bösartiger Domains und Applikationen zu erkennen, die in die Anmeldeflüsse von Microsoft 365 eingebettet sind. Im Folgenden werden die wichtigsten Phasen beschrieben – von der ersten Anlockphase bis zur Stabilisierung des Zugriffs innerhalb des Tenants.

Techniken des Anlockens

Die Analysen der Kill Chains zeigen ein konstantes Schema. Alles beginnt mit dem Versand einer gefälschten Benachrichtigung „Microsoft OneDrive Secure Cloud“, die auf die Verfügbarkeit einer geschützten Datei hinweist. Der in der E-Mail enthaltene Link verweist systematisch auf Domains des Typs: *.reflector.dom.de oder *.reflector.de.com.

Kompromittierung über eine bösartige App

Nach dem Klick auf den bösartigen Link wird das Opfer aufgefordert, die Installation einer M365-Anwendung mit dem Namen „prod-mmind“ zu autorisieren (Abbildung 4). Diese weist eine besonders umfangreiche und sensible Liste von Berechtigungen auf (Abbildung 5).

Diese Berechtigungen ermöglichen es dem Angreifer,

• auf die in der Mailbox befindlichen Daten zuzugreifen;
• personenbezogene und organisatorische Informationen zu analysieren und zu sammeln;
• das kompromittierte Konto zu nutzen, um neue bösartige E-Mails an interne und externe Kontakte weiterzuleiten und so den typischen „Ketteneffekt“ kampagnenbasierter App-Abuse-Szenarien zu begünstigen.

Risikobewertung

Vor dem Hintergrund der vorliegenden Erkenntnisse ist das mit dieser Kampagne verbundene Risikoniveau als hoch einzustufen – sowohl aufgrund des potenziellen Schadens für die Daten als auch wegen der hohen Ausbreitungsfähigkeit innerhalb und außerhalb der Organisation. Besonders kritisch ist die Bedrohung, weil sie:

• OAuth-Mechanismen und die Installation von M365-Apps ausnutzen, um einen persistenten Zugriff zu erlangen;
• nach Erteilung der Delegation keine direkte Kompromittierung des Passworts mehr erfordert;
• weitere interne Kompromittierungen durch automatische Weiterleitungs- oder Antwortmechanismen erzeugen kann;
• die Exfiltration sensibler Daten oder strategischer Inhalte aus dem Tenant ermöglichen kann.

Empfohlene proaktive Maßnahmen

Um die Angriffsfläche zu reduzieren und die Wahrscheinlichkeit zu senken, dass ähnliche Kampagnen erfolgreich sind, ist es entscheidend, sowohl organisatorisch als auch technisch gegenzusteuern. Insbesondere werden folgende Maßnahmen empfohlen:

1. Schulung der Benutzer: Sensibilisierung der Benutzer dafür, wie sich legitime Microsoft-Anmeldeflüsse von verdächtigen Anfragen vermeintlicher „Pseudo-Microsoft“-Dienste unterscheiden.
2. Stärkung der Anti-Phishing-Kultur: Einsatz praktischer Beispiele mit Fokus auf verdächtige Domains, Aufbau der E-Mails und Authentizitätsmerkmale von M365-Prompts.
3. Conditional Access: Implementierung von Conditional-Access-Richtlinien, die die Installation von Apps und den Zugriff auf Ressourcen auf bekannte, sichere und den Unternehmensrichtlinien entsprechende Kontexte beschränken.
4. Richtlinien für Unternehmens-Apps: Definition eines Katalogs autorisierter M365-Anwendungen und Unterbindung der Installation nicht geprüfter Apps.
5. Blockieren bösartiger Domains: Blockieren der folgenden Domains auf DNS-, Firewall- und Endpoint-Ebene:
   • *[.]reflector.dom[.]de
   • *[.]reflector[.]de[.]com

Maßnahmen zur Bereinigung nach einer Kompromittierung

Bei bestätigter oder stark vermuteter Kompromittierung ist es erforderlich, zeitnah einen strukturierten Bereinigungsprozess einzuleiten, um die Angriffskette zu unterbrechen und das Risikoniveau wieder auf ein akzeptables Maß zu senken. Die folgenden Mindestschritte werden empfohlen:

1. Reset der Anmeldedaten und Widerruf von Sitzungen: Zurücksetzen des Benutzerpassworts und vollständiger Widerruf aller aktiven Sitzungen, einschließlich des Widerrufs von MFA-Tokens (erforderlich vor dem Hintergrund der jüngsten Microsoft-Updates).
2. Entfernung der bösartigen App: Im Tenant nach der App „prod-mmind“ und nach anderen ohne Autorisierung installierten Anwendungen suchen und diese entfernen.
3. Widerruf von Delegationen: Sämtliche verbliebene Autorisierungen oder Delegationen, die den bösartigen Apps erteilt wurden, vollständig löschen.

Bedrohungsszenario und beobachtete Fälle

Die beschriebene Kampagne zeigt eine Weiterentwicklung der Phishing-Techniken hin zu deutlich raffinierteren Ansätzen, die auf den Missbrauch von Cloud-Umgebungen sowie OAuth- und Graph-Delegationen ausgerichtet sind.

Bereits in den ersten Beobachtungswochen wurden 40 bestätigte Fälle registriert, die sämtlich aus nicht verwalteten Services stammen und ausschließlich durch die Weitergabe von Hinweisen auf verdächtiges Verhalten oder durch die Meldung weiterer Phishing-E-Mails bekannt wurden.

Ein integrierter Ansatz mit Schulung, proaktiven Kontrollen und klar definierten Bereinigungsprozessen ist unerlässlich, um die Bedrohung einzudämmen und weitere Kompromittierungen zu verhindern.