Passkeys als Backdoor: iAuthFlow V2, das Phishing, das Passwortänderungen übersteht

Die Phishing-Landschaft wird um ein neues kommerzielles Toolkit erweitert, das ein ehrgeiziges Ziel verfolgt: den Zugriff auf ein Gmail-Konto auch dann zu behalten, wenn das Opfer das Passwort geändert und aktive Sitzungen widerrufen hat. Sein Name ist iAuthFlow V2, und es wurde erstmals in einem russischsprachigen Cybercrime-Forum beobachtet. Die Funktionsweise beschreibt eine Analyse von Abnormal Security, die auf Posts und öffentlichen Demonstrationen des Verkäufers basiert – nicht auf der direkten Ausführung der Malware.

Das Toolkit wird als Phishing-as-a-Service verkauft: Das Basispaket kostet 10.000 US-Dollar, zusätzliche Module sind separat erhältlich. Ein hoher Preis, der auf motivierte und ressourcenstarke Akteure hindeutet und erklärt, warum die öffentlichen Informationen zu iAuthFlow V2 noch sehr begrenzt sind. Das charakteristische Merkmal, das aus der Analyse der vom Verkäufer verbreiteten Materialien hervorgeht, ist die Verwendung von Passkeys, um eine Persistenz zu erreichen, die herkömmliche Anti-Phishing-Gegenmaßnahmen nicht durchbrechen können.

Der Mechanismus: zwei Browser und ein unsichtbarer Passkey

Das von Abnormal Security rekonstruierte Szenario nimmt ein Gmail-Konto als Beispiel und besteht aus einer Abfolge von Schritten, die traditionelles Phishing mit einer Infrastruktur aus zwei Umgebungen kombinieren.

Das Opfer wird über eine klassische Phishing-Nachricht auf eine vom Angreifer kontrollierte Webseite gelockt. Dort gibt es seine Anmeldedaten ein, in der Annahme, sich beim legitimen Dienst anzumelden. Auf dem Server des Angreifers ist jedoch eine zweite Browser-Umgebung aktiv – getrennt, aber mit der Phishing-Seite verbunden: Dieser zweite Browser interagiert tatsächlich mit Google, während das Opfer nur mit der gefälschten Seite interagiert.

Anmeldedaten und Authentifizierungsantworten werden an den zweiten Browser weitergeleitet, der sofort ein Browser-Fingerprinting auf den Browser des Opfers anwendet. Jede Eingabe des Opfers wird aufgezeichnet. Anschließend fügt das Toolkit stillschweigend einen bereits vorbereiteten Passkey hinzu und leitet ihn an die zweite Umgebung weiter. Google fordert das Opfer über die ursprüngliche Phishing-Seite auf, die Authentifizierung abzuschließen: Wenn das Phishing erfolgreich ist, autorisiert das Opfer unwissentlich auch den vom Angreifer kontrollierten Passkey. Die gesamte Sequenz zielt darauf ab, dass der Nutzer in dem Glauben, sein Konto zu schützen, tatsächlich eine alternative Zugriffsmethode hinzufügt, die sich in der Hand des Angreifers befindet.

Warum ein Passwort-Reset nicht ausreicht

Normalerweise empfiehlt sich nach einer Phishing-Kompromittierung, das Passwort zu ändern und aktive Sitzungen zu widerrufen. Verfügt der Angreifer nur über gestohlene Sitzungscookies, reichen diese Maßnahmen aus, um den Zugriff zu unterbrechen. Google weist darauf hin, dass eine Passwortänderung App-Passwörter und OAuth-Tokens mit Gmail-Bereichen widerruft, einige autorisierte Geräte und Drittanbieter-Verbindungen jedoch verbunden bleiben können. Der Passkey bleibt davon unberührt.

Der Passkey ist eine auf dem Konto registrierte Anmeldeinformation, kein vom Passwort abgeleitetes Token. Eine Passwortänderung entfernt ihn nicht. Wenn der Angreifer den bösartigen Passkey kontrolliert, kann er ihn später verwenden, um sich anzumelden, indem er beim Login „Andere Methode verwenden“ wählt – ohne das Passwort zu kennen und ohne dass der Sitzungswiderruf irgendeine Wirkung hat. Der Zugriff übersteht Reset und Widerruf: Diese Eigenschaft macht iAuthFlow V2 qualitativ gefährlicher als herkömmliche Phishing-Kits, auch ohne CVSS-Bewertung.

Grenzen der Analyse und unklare Informationslage

Die Analyse von Abnormal Security basiert nicht auf der tatsächlichen Ausführung der Malware. Die Forscher haben iAuthFlow V2 weder gekauft noch ausgeführt, sondern die Funktionsweise anhand der vom Verkäufer im Forum veröffentlichten Materialien rekonstruiert. Dies erfordert Vorsicht bei operativen Schlussfolgerungen, aber das beschriebene technische Bild ist konsistent mit bekannten Phishing-Techniken unter Verwendung von Passkeys.

Die öffentlich verfügbaren Informationen zu dem Toolkit sind sehr begrenzt, was zu dem hohen Preis und der vermutlich verdeckten Arbeitsweise passt. Es sind keine zugehörigen CVEs oder spezifischen öffentlich gemachten Kompromittierungsindikatoren bekannt: Abnormal Security gibt an, IoCs und Hinweise zur Behebung in die eigene Analyse aufzunehmen, die operativen Details wurden im Bericht jedoch nicht offengelegt.

Das Bild wird durch die Verwirrung der zu diesem Thema befragten Sprachmodelle noch undurchsichtiger. Gemini beschreibt iAuthFlow V2 als kommerzielles Phishing-as-a-Service-Toolkit/-Framework, das in Underground-Foren wie Exploit Forum verkauft wird, erwähnt jedoch keine Passkeys. Copilot liefert eine noch unklarere Antwort. Dies zeigt, dass es derzeit nur wenige zuverlässige Quellen gibt und die Analyse der Forscher die wichtigste Referenz bleibt.

Risiken für Nutzer und Organisationen

Das Opfer dieser Art von Angriff verliert nicht nur Anmeldedaten, sondern auch die Kontrolle über alternative Zugriffsmethoden. Der Angreifer behält den Zugriff auf das Konto, selbst nachdem das Opfer die üblichen Behebungsmaßnahmen durchgeführt hat. Der bösartige Passkey bleibt auf dem Konto registriert und ermöglicht künftige Zugriffe ohne Kenntnis des Passworts. Mögliche Folgen sind das kontinuierliche Lesen von E-Mails, Datendiebstahl und eine länger andauernde Kompromittierung des Kontos, die sich über Wochen oder Monate erstrecken kann.

Für Organisationen ist das Risiko noch größer: Wer sich auf das Zurücksetzen des Passworts und den Widerruf von Sitzungen beschränkt, könnte den Angreifer nicht aus dem kompromittierten Konto vertreiben. Im Unternehmenskontext kann ein Gmail-Konto oder ein anderes mit einer Domäne verbundenes Dienstkonto zu einem dauerhaften Einfallstor für Datenexfiltration oder für Folgeangriffe auf andere Mitarbeiter werden.

So schützen Sie sich: Passkeys und alternative Zugriffsmethoden prüfen

Die wichtigste Lehre aus der Analyse von Abnormal Security lautet, dass herkömmliche Gegenmaßnahmen nicht mehr ausreichen. Allein das Ändern des Passworts und der Widerruf von Sitzungen unterbrechen keinen Zugriff, der auf einem bösartigen Passkey basiert. Wer eine Kompromittierung vermutet oder ein Konto absichern möchte, muss eventuell registrierte, nicht erkannte Passkeys oder Anmeldeinformationen überprüfen und entfernen. Bei Gmail und anderen Diensten sollte der Bereich für Passkeys und alternative Zugriffsmethoden Punkt für Punkt kontrolliert werden.

Ebenso wichtig ist die Überprüfung autorisierter Geräte und Drittanbieter-Verbindungen, die nach der Passwortänderung möglicherweise aktiv bleiben, da Google warnt, dass einige davon den Reset überstehen können. Generell gilt nach einem Phishing-Vorfall: Jede auf dem Konto registrierte Authentifizierungsmethode sollte als potenziell kompromittiert betrachtet werden, und alles Unbekannte sollte entfernt werden, bevor das Konto als sicher gilt.

Der größere Kontext, über den kürzlich berichtet wurde, zeigt, dass Phishing immer ausgefeilter und organisierter wird: FBI und Google haben den Phishing-Dienst „Outsider Enterprise“ zerschlagen, über 500 Organisationen wurden in einer mehrjährigen Kampagne getroffen, und Microsoft hat vor einer raffinierten Kampagne gegen US-Organisationen gewarnt. iAuthFlow V2 reiht sich in diesen Trend ein und macht Passkeys von einem Sicherheitsinstrument zu einem Persistenzvektor. Die Abwehr muss sich entsprechend ebenso schnell weiterentwickeln.