PREY-0058 setzt Helpdesk-Anrufe und Residential Proxies ein, um die MFA von Microsoft 365 zu umgehen

Ein als PREY-0058 verfolgter Bedrohungscluster kompromittiert Cloud-Konten von Unternehmen, indem er sich am Telefon als interne IT-Mitarbeiter ausgibt. Anstatt Malware einzusetzen oder eine Software-Schwachstelle auszunutzen, bringen die Angreifer Beschäftigte dazu, sich über Phishing-Portale zu authentifizieren, die für die Echtzeitüberwachung der Anmeldevorgänge entwickelt wurden.

Laut einem am 8. September 2026 von Artic Wolf veröffentlichten Bericht richtet sich die Kampagne häufig gegen Direktoren, Vizepräsidenten und andere Führungskräfte. Nach dem Eindringen durchsuchen die Angreifer Microsoft 365 und verbundene Software-as-a-Service-Plattformen, sammeln Unternehmensdaten und können anschließend Erpressungsforderungen stellen.

Die Kampagne kombiniert Voice-Phishing, eine Adversary-in-the-Middle-Infrastruktur, gestohlene Sitzungstoken und Residential Proxies, die so ausgewählt werden, dass sie dem üblichen Standort des Opfers entsprechen. Dadurch können Erkennungsmechanismen geschwächt werden, die sich hauptsächlich auf geografische Daten oder „Impossible Travel“ stützen.

Ein Telefonanruf setzt die Kompromittierung in Gang

Die Betreiber von PREY-0058 geben sich als IT-Abteilung oder Helpdesk des Unternehmens aus. Anschließend wird das Opfer auf eine Phishing-Seite mit Bezug zur Authentifizierung geleitet, die häufig unter einer Adresse nach folgendem Muster gehostet wird:

<Opferorganisation>.<Lockdomain>

Der Name des Zielunternehmens im Hostnamen lässt die Seite insbesondere während eines kurzen Telefonats plausibel wie eine Ressource des Arbeitgebers erscheinen. Der Anruf erzeugt zudem Zeitdruck und gibt dem Angreifer die Möglichkeit, das Opfer durch jeden einzelnen Authentifizierungsschritt zu führen.

Das manipulierte Portal unterstützt einen Adversary-in-the-Middle- oder AiTM-Angriff. Die Phishing-Infrastruktur sammelt nicht lediglich ein statisches Passwort, sondern leitet die Authentifizierungsaktivitäten zwischen dem Opfer und dem legitimen Microsoft-Dienst weiter.

So können die Betreiber die eingegebenen Zugangsdaten und MFA-Bestätigungen abfangen. Noch wichtiger ist, dass sie das authentifizierte Microsoft-365-Sitzungstoken erhalten können, das nach Abschluss des Anmeldevorgangs erstellt wird.

Das gestohlene Token wird anschließend wiederverwendet, um auf das Konto zuzugreifen. Da die Sitzung die Authentifizierung bereits durchlaufen hat, muss der Angreifer möglicherweise keine erneute MFA-Abfrage auslösen, solange das Token nicht abläuft, widerrufen wird oder eine andere Zugriffskontrolle greift.

Ein Exploit auf dem Endgerät ist nicht erforderlich. Herkömmliche Antivirus- und Endpoint-Detection-Tools sehen während der initialen Kompromittierung daher möglicherweise wenig oder gar nichts.

Residential Proxies lassen bösartige Sitzungen lokal erscheinen

PREY-0058 nutzt eine Infrastruktur aus Residential Proxies, insbesondere NodeMaven, um den Zugriff auf kompromittierte Konten weiterzuleiten. Die Betreiber wählen Proxy-Adressen aus, die zur geografischen Region des Opfers und in einigen Fällen sogar zum selben Netzwerk oder zur selben Autonomous System Number passen.

Damit soll die gestohlene Sitzung wie legitime Aktivität wirken. Ein Benutzer, der sich normalerweise aus einer bestimmten Stadt anmeldet, kann dadurch scheinbar weiterhin von dort auf das Konto zugreifen, obwohl ein Angreifer die Sitzung von einem anderen Ort aus steuert.

Zugleich wird die Aussagekraft von Warnungen vor „Impossible Travel“ eingeschränkt. Diese Kontrollen sind wirksam, wenn ein Konto innerhalb eines unrealistischen Zeitraums an weit voneinander entfernten Orten auftaucht. Sie sind jedoch weniger zuverlässig, wenn beide Sitzungen von nahe beieinanderliegenden Adressen ausgehen.

Der Standort sollte daher als ein Signal unter mehreren betrachtet werden, nicht als Beleg für die Legitimität einer Sitzung. Verteidiger sollten die scheinbare geografische Herkunft mit weiteren Merkmalen abgleichen, darunter:

• Internetdienstanbieter und ASN
• Zuordnung zu Residential Proxies oder Hosting-Anbietern
• Profil von Browser und Betriebssystem
• User-Agent-Strings
• Gerätemanagement- und Compliance-Status
• Zu Beginn der Sitzung geöffnete Anwendungen
• Datei-, E-Mail- und Verzeichnisaktivitäten nach der Authentifizierung

Eine Sitzung kann geografisch unauffällig erscheinen und dennoch bösartig sein, wenn Netzwerkbetreiber, Gerätezustand oder Verhalten vom etablierten Muster des Kontos abweichen.

Angreifer kartieren Anwendungen, bevor sie Daten sammeln

Nach der Wiederverwendung eines gestohlenen Tokens greifen die Betreiber häufig auf Microsoft-Kontoschnittstellen wie OfficeHome, My Signins, My Profile, My Apps und Microsoft Account Controls zu.

Diese Dienste liefern nützliche Informationen über das Konto des Opfers und die darüber verfügbaren Anwendungen. Früher Zugriff auf mehrere dieser Schnittstellen kann darauf hindeuten, dass ein Eindringling zunächst ermittelt, welche Ressourcen das Konto erreichen kann, bevor er mit einer umfassenderen Aufklärung beginnt.

Anschließend untersucht PREY-0058 Microsoft Entra ID und SharePoint. Die SharePoint-Aufklärung kann SearchQueryPerformed-Auditereignisse erzeugen, die Suchausdrücke wie die folgenden enthalten:

contentclass:STS_Site
contentclass:STS_Web

Die Angreifer können außerdem Wildcard-Suchen mit indexdocid verwenden, um die Ergebnisse seitenweise abzurufen. Dadurch lassen sich SharePoint-Websites, Webressourcen, Dokumentenablagen und potenziell wertvolle Dateien systematisch erfassen.

Die Datensammlung kann sich anschließend auf folgende Dienste ausweiten:

• SharePoint
• OneDrive
• Exchange
• Box

Die Betreiber können den Zugriff mithilfe von Pythons requests-Bibliothek oder der Microsoft Graph API automatisieren und dadurch Dateien schneller abrufen, als dies bei einer manuellen Bedienung über einen Browser möglich wäre. Eine umfangreiche Sammlung kann Unternehmensdokumente, E-Mails und Daten aus verbundenen SaaS-Plattformen offenlegen.

Auf den Datendiebstahl kann eine Erpressung folgen. Das primäre Risiko besteht daher nicht in der Kontrolle über den Computer eines Mitarbeiters, sondern in der unbefugten Nutzung einer vertrauenswürdigen Cloud-Identität, um auf Informationen zuzugreifen, für die der Mitarbeiter bereits berechtigt ist.

Für die Erkennung sind Cloud- und Identitätstelemetrie erforderlich

Verteidiger sollten zunächst Anmeldungen untersuchen, die mit NodeMaven, anderen Residential-Proxy-Diensten und Hosting-Anbietern in Verbindung stehen. Das Blockieren eines einzelnen namentlich bekannten Netzwerks reicht jedoch nicht aus, wenn die Betreiber ihre Infrastruktur regelmäßig wechseln.

Die Abfolge der Aktivitäten ist häufig aussagekräftiger als eine einzelne IP-Adresse. Eine ungewöhnliche Sitzung kann mit Kontoverwaltungsschnittstellen beginnen, zu einer Aufklärung in SharePoint oder Entra ID übergehen und mit umfangreichen Datei- oder Postfachzugriffen enden.

Zu den Erkennungsmustern mit hoher Priorität gehören:

1. Unerwarteter Zugriff auf OfficeHome, My Signins, My Profile, My Apps oder Microsoft Account Controls unmittelbar nach der Anmeldung.
2. Abweichungen vom üblichen ISP, ASN, Browser, Betriebssystem, Gerät oder User-Agent des Benutzers.
3. SearchQueryPerformed-Ereignisse, bei denen SharePoint-Websites, Webressourcen oder Dateien aufgelistet werden.
4. Häufungen von Exchange-MailItemsAccessed-Ereignissen innerhalb eines kurzen Zeitraums.
5. Große Mengen angezeigter oder heruntergeladener SharePoint- oder OneDrive-Dateien über ein einzelnes Konto.
6. Abruf von Dateien über Python-basierte HTTP-Anfragen oder Microsoft Graph.
7. Cloud-Aktivitäten von Residential-Proxies und Hosting-Adressen, selbst wenn der Standort unauffällig erscheint.
8. Neu registrierte oder erstmals beobachtete Domains, die die Organisation imitieren und zur Einrichtung von MFA, Passkeys oder Authentifizierung auffordern.

Sicherheitsteams sollten diese Signale korrelieren, statt sie isoliert zu bewerten. Eine lokale Residential-IP wirkt für sich genommen möglicherweise nicht verdächtig. In Verbindung mit einem nicht verwalteten Gerät, einem neuen User-Agent, einer SharePoint-Aufklärung und einem plötzlichen Anstieg der Downloads erhält sie jedoch eine andere Bedeutung.

Artic Wolf hat ebenfalls Indicators of Compromise im Zusammenhang mit PREY-0058 veröffentlicht. Die konkreten Domain- und IP-Werte sind in den verfügbaren Kampagnendetails nicht enthalten. Verteidiger sollten daher zusätzlich verhaltensbasierte Erkennungen pflegen, die auch bei einer Änderung der Infrastruktur wirksam bleiben.

Verwaltete Geräte und resistente Zugangsdaten verringern das Risiko

Unternehmen sollten den Zugriff auf Microsoft 365 nach Möglichkeit auf verwaltete, konforme Geräte beschränken. Ein gestohlenes Token, das von einem unbekannten Gerät aus verwendet wird, sollte zusätzlichen Zugriffskontrollen unterliegen, statt allein deshalb akzeptiert zu werden, weil Passwort und MFA-Prozess zuvor erfolgreich abgeschlossen wurden.

Verbindungen von Residential-Proxies und Hosting-Anbietern können blockiert, eingeschränkt oder einer strengeren Verifizierung unterzogen werden. Für legitime Benutzer können Ausnahmen erforderlich sein. Diese Ausnahmen sollten jedoch nicht dazu führen, dass Geräte- und Verhaltensprüfungen entfallen.

Microsoft Continuous Access Evaluation kann dabei helfen, aktive Sitzungen erneut zu bewerten, wenn sich relevante Sicherheitsbedingungen ändern. Administratoren sollten außerdem in der Lage sein, Sitzungen bei Verdacht auf Token-Diebstahl schnell zu widerrufen.

Bei der Authentifizierung sollten Unternehmen phishingresistente Verfahren wie FIDO2-Sicherheitsschlüssel und gerätegebundene Passkeys priorisieren. Diese Kontrollen bieten einen stärkeren Schutz vor AiTM-Phishing als Bestätigungsaufforderungen oder Zugangsdaten, die Benutzer über eine täuschend echte Website weitergeben können.

Weitere Maßnahmen sind die Einschränkung des Zugriffs auf besonders schützenswerte SharePoint-Ablagen, die Überprüfung übermäßig weitreichender Berechtigungen von Führungskräften sowie die Überwachung umfangreicher Zugriffe in Microsoft 365 und Box.

Mitarbeiter und Helpdesk-Personal benötigen außerdem ein verbindliches Verfahren für unerwartete Supportanrufe. Der Benutzer sollte das Gespräch beenden und die IT selbstständig über eine bekannte interne Telefonnummer oder einen authentifizierten Supportkanal kontaktieren. Kontaktdaten, die der Anrufer nennt, sollten nicht als vertrauenswürdig gelten.

Es handelt sich um einen Identitätsangriff, nicht um eine patchbare Schwachstelle

Mit der gemeldeten Kampagne sind keine CVE, keine verwundbare Softwareversion und kein Herstellerpatch verbunden. Microsoft 365, Entra ID, SharePoint, OneDrive, Exchange und Box sind als angegriffene Dienste beteiligt. Konkrete betroffene Versionen wurden jedoch nicht bekannt gegeben.

Der CISA-Katalog der bekannten ausgenutzten Schwachstellen ist daher nicht einschlägig: PREY-0058 nutzt Menschen, Authentifizierungsabläufe und gestohlene Sitzungen aus und keine dokumentierte Software-Schwachstelle.

Diese Unterscheidung verändert die Verteidigungsstrategie. Das alleinige Patchen von Endgeräten wird die Kampagne nicht stoppen. Unternehmen müssen Cloud-Zugriffsrichtlinien härten, phishingresistente Authentifizierung einsetzen, übermäßige Datenberechtigungen reduzieren und Identitätssitzungen untersuchen, selbst wenn deren scheinbarer Standort vertraut wirkt.