Laut den in The Hacker News beschriebenen Erkenntnissen von Huntress haben Angreifer durch das Wiederabspielen gestohlener Anmelde-Token 97 Microsoft-365-Konten in 79 Organisationen kompromittiert. Die Kampagne umfasste außerdem die Registrierung von 48 nicht autorisierten Microsoft-Entra-Geräten, was den Angreifern einen weiteren Weg bot, den Zugriff aufrechtzuerhalten.
Huntress beobachtete die Aktivität zwischen dem 14. Juli und dem 22. September 2026. Die Forscher registrierten 497 erfolgreiche Microsoft-365-Anmeldeereignisse und führten mehr als 200.000 fehlgeschlagene Anmeldeversuche auf den IP-Bereich 193.26.115[.]0/24 zurück. Erfolgreiche Anmeldeereignisse stehen für wiederholte Aktivitäten und nicht für die Anzahl unterschiedlicher kompromittierter Konten.
Gestohlene Token ermöglichten den Zugriff vorbei an der MFA
Die Kampagne nutzte Adversary-in-the-Middle-Phishing-Seiten, die zwischen den Opfern und der legitimen Anmeldeinfrastruktur von Microsoft positioniert waren. Diese Seiten erfassten Zugangsdaten und Codes der Multifaktor-Authentifizierung und leiteten sie an Microsoft weiter, um die Authentifizierung abzuschließen.
Anschließend erbeuteten die Angreifer das nach der Anmeldung ausgestellte Token und spielten es innerhalb weniger Minuten von eigenen Geräten aus wieder ab. Da das Token eine authentifizierte Sitzung darstellte, konnten die Angreifer es verwenden, ohne die MFA-Abfrage des Opfers erneut abzuschließen.
Huntress bezeichnete den Ansatz als „Token-Spraying“: das Wiederabspielen vieler gestohlener Token über mehrere Organisationen hinweg in großem Umfang, ähnlich wie beim Password Spraying. Den Forschern zufolge stammten die Token aus verschiedenen Quellen, darunter Phishing-Relays, Device-Code-Phishing und Social Engineering während legitimer Anmeldeprozesse.
Angreifer verschafften sich weitere Wege, den Zugriff zu behalten
Nach dem Zugriff registrierten die Angreifer eigene Authenticator-Apps, damit sie MFA-Abfragen bei späteren Anmeldungen abschließen konnten, auch nachdem eine gestohlene Sitzung abgelaufen oder widerrufen worden war.
In mindestens 19 Organisationen wurden bestehende MFA-Methoden entfernt und innerhalb von drei Stunden nach der ersten Anmeldung durch eine neue ersetzt. In einem am 21. Juli beobachteten Fall aktivierte ein Angreifer eine Authenticator-App namens „iPhone 13“ weniger als 51 Minuten nach der Übernahme der Sitzung.
Die nicht autorisierten Geräteregistrierungen boten einen weiteren Persistenzmechanismus. Laut Huntress kann ein registriertes Gerät eine dauerhaftere Möglichkeit bieten, Token anzufordern, als eine gestohlene Sitzung allein. Zudem bleibt es im Verzeichnis der Organisation, bis es gelöscht wird.
Die Angreifer legten außerdem versteckte Posteingangsregeln mit unauffälligen Namen wie „sss“, „iT“ und „........“ an. Diese Regeln löschten eingehende Nachrichten, die Begriffe wie Gehaltsabrechnung, Einzahlungen und Boni enthielten, oder verschoben sie in Ordner wie „RSS-Feeds“ und „Unterhaltungsverlauf“.
In einem kompromittierten Postfach markierte eine Regel jede eingehende Nachricht als gelesen und löschte sie. Das Konto verschickte anschließend Spam an Hunderte externe Empfänger, bevor Microsoft Entra ID Protection es als Konto mit hohem Risiko einstufte.
Die Behebung umfasst die Überprüfung von Kontoänderungen
Organisationen, die einen Token-Replay vermuten, empfahl Huntress, Sitzungen zu widerrufen und Passwörter zurückzusetzen, außerdem Entra-Geräte zu prüfen und die registrierten MFA-Methoden zu überprüfen. Die Empfehlungen umfassten zudem die Suche nach unerwarteten Posteingangsregeln oder neuen Unternehmensanwendungen sowie die Einschränkung von Device-Code-Abläufen über Conditional-Access-Richtlinien.
Diese Prüfungen betreffen Änderungen, die Angreifer nach dem Zugriff vorgenommen haben: Eine gestohlene Sitzung war nur ein Teil des Eindringens, während hinzugefügte Authentifizierungsmethoden, registrierte Geräte und Postfachregeln bestehen bleiben konnten.
