Die sich entwickelnde Bedrohungslandschaft: AiTM-Phishing-Kits und MFA-Umgehung
Die Cybersicherheitsgemeinschaft erlebt eine erhebliche Eskalation der Raffinesse von Phishing-Angriffen, insbesondere in Bezug auf die Umgehung der Multi-Faktor-Authentifizierung (MFA). Jüngste Erkenntnisse von Lexfo-Forschern verdeutlichen einen besorgniserregenden Trend: das Aufkommen hochentwickelter Phishing-Kits, die auf leicht verfügbaren Open-Source-Tools basieren, hauptsächlich dem Adversary-in-the-Middle (AiTM)-Angriffsframework namens Evilginx. Diese Kits sind speziell dafür entwickelt, Live-Microsoft 365-Authentifizierungssitzungen zu proxen, um Bedrohungsakteuren die Erfassung von Sitzungscookies und OAuth-Tokens in Echtzeit zu ermöglichen und so selbst robuste MFA-Implementierungen zu umgehen.
Anatomie eines AiTM-Angriffs: Nutzung von Evilginx
Im Kern funktioniert ein AiTM-Angriff, der über Evilginx orchestriert wird, indem der Server des Angreifers als Vermittler zwischen dem Opfer und dem legitimen Dienst (z. B. Microsoft 365) positioniert wird. Wenn ein Benutzer auf einen bösartigen Link klickt, wird er zur Phishing-Seite des Angreifers umgeleitet, die als transparenter Proxy fungiert. Anstatt eine gefälschte Anmeldeseite anzuzeigen, ruft Evilginx dynamisch die legitime Anmeldeseite vom Zieldienst ab und leitet sie an das Opfer weiter. Entscheidend ist, dass alle Benutzereingaben, einschließlich Anmeldeinformationen und nachfolgende MFA-Abfragen, von Evilginx abgefangen werden, bevor sie an den legitimen Dienst weitergeleitet werden. Sobald der Benutzer sich erfolgreich authentifiziert hat (einschließlich MFA), gibt der legitime Dienst Sitzungscookies und OAuth-Tokens aus. Evilginx fängt diese Tokens ab und kapert effektiv die authentifizierte Sitzung, bevor sie an den Browser des Opfers weitergeleitet werden, wodurch die Erfahrung für den Benutzer nahtlos erscheint.
- Echtzeit-Proxying: Evilginx imitiert keine Anmeldeseiten; es proxyt sie live und stellt sicher, dass die Phishing-Seite immer den aktuellen Anmeldefluss des legitimen Dienstes widerspiegelt, einschließlich dynamischer Elemente und MFA-Aufforderungen.
- Erfassung von Anmeldeinformationen und Tokens: Jede zwischen dem Opfer und dem legitimen Dienst ausgetauschte Datenmenge durchläuft Evilginx, was die Erfassung von Benutzernamen, Passwörtern, Sitzungscookies und OAuth-Tokens ermöglicht.
- MFA-Umgehung: Da Evilginx den gesamten Authentifizierungsfluss, einschließlich der MFA-Abfrage, proxyt, erfasst es das gültige Sitzungstoken *nachdem* die MFA vom Benutzer erfolgreich abgeschlossen wurde, wodurch herkömmliche MFA-Mechanismen gegen diesen spezifischen Angriffsvektor unwirksam werden.
Lexfos Entdeckungen: Drei Hochentwickelte Kits
Lexfos Forschung zeigt, dass mehrere neue Phishing-Kits aktiv die Prinzipien von Evilginx nutzen und dessen Fähigkeiten für gezielte Kampagnen verfeinern. Diese Kits sind nicht nur statische Anmeldeinformationssammler; sie sind dynamische, adaptive Plattformen, die für dauerhaften Zugriff konzipiert sind. Das primäre Ziel, Microsoft 365, unterstreicht die lukrative Natur von Unternehmensanmeldeinformationen und die weit verbreitete Akzeptanz von M365-Diensten in Unternehmen weltweit. Die Fähigkeit, Sitzungscookies und OAuth-Tokens zu erfassen, gewährt Angreifern nicht nur einen vorübergehenden Login, sondern oft langfristigen Zugriff, wodurch sie nachfolgende MFA-Aufforderungen umgehen und die Persistenz in einer kompromittierten Umgebung aufrechterhalten können.
Auswirkungen und Implikationen für die Unternehmenssicherheit
Der Aufstieg dieser hochentwickelten AiTM-Phishing-Kits stellt eine erhebliche Herausforderung für konventionelle Cybersicherheitsverteidigungen dar. Die Auswirkungen sind schwerwiegend:
- Datenlecks: Kompromittierte M365-Konten können zu unbefugtem Zugriff auf sensible E-Mails, Dokumente und Cloud-Speicher führen und die Datenexfiltration erleichtern.
- Business Email Compromise (BEC): Angreifer können kompromittierte Konten nutzen, um hochüberzeugende BEC-Betrügereien zu starten, die zu Finanzbetrug und Reputationsschäden führen.
- Laterale Bewegung und Persistenz: Gestohlene OAuth-Tokens können verwendet werden, um auf andere integrierte Anwendungen und Dienste innerhalb des M365-Ökosystems zuzugreifen, was laterale Bewegung ermöglicht und persistente Hintertüren etabliert.
- Lieferkettenangriffe: Der Zugriff auf die M365-Umgebung einer einzelnen Organisation kann einen Ausgangspunkt für Angriffe auf deren Partner und Kunden bieten.
Verteidigungsstrategien und Minderung
Die Bekämpfung dieser fortgeschrittenen Bedrohungen erfordert eine mehrschichtige und proaktive Verteidigungsstrategie:
- Phishing-resistente MFA: Implementieren Sie hardwaregestützte Sicherheitsschlüssel (z. B. FIDO2/WebAuthn) oder zertifikatbasierte Authentifizierung, die von Natur aus resistent gegen AiTM-Angriffe sind, da sie die Authentifizierung an ein bestimmtes Gerät und einen bestimmten Ursprung binden.
- Richtlinien für bedingten Zugriff: Nutzen Sie granulare Richtlinien für bedingten Zugriff in M365, um den Zugriff basierend auf Gerätezustand, Standort, IP-Bereichen und Anwendungskontext einzuschränken. Überwachen Sie anomale Anmeldemuster, wie z. B. unmögliche Reisen oder Anmeldungen von ungewöhnlichen Benutzeragenten.
- Benutzerschulung und -bewusstsein: Schulen Sie Benutzer kontinuierlich, um hochentwickelte Phishing-Versuche zu erkennen, selbst solche, die legitim erscheinen. Betonen Sie Wachsamkeit bei ungewöhnlichen URLs, auch wenn der Inhalt authentisch erscheint.
- Endpoint Detection and Response (EDR): Setzen Sie fortschrittliche EDR-Lösungen ein, um Aktivitäten nach der Kompromittierung zu erkennen, wie z. B. verdächtige Prozessausführung, unbefugten Datenzugriff oder ungewöhnliche Netzwerkverbindungen, die von kompromittierten Konten ausgehen.
- Robuster Incident Response Plan: Entwickeln und testen Sie regelmäßig einen Incident Response Plan speziell für Kontokompromittierungsszenarien, einschließlich schneller Sitzungsbeendigung und Anmeldeinformationsrotation.
- Regelmäßige Sicherheitsaudits: Führen Sie häufige Audits von M365-Konfigurationen, Benutzerberechtigungen und OAuth-Anwendungsgenehmigungen durch, um unbefugten Zugriff zu identifizieren und zu widerrufen.
Digitale Forensik und Zuordnung von Bedrohungsakteuren
Im Falle einer vermuteten Kompromittierung oder der Entdeckung einer Phishing-Kampagne sind effektive digitale Forensik und Bedrohungsintelligenz von größter Bedeutung. Die Analyse der Phishing-Infrastruktur, die Identifizierung kompromittierter Benutzerkonten und das Verständnis der Taktiken, Techniken und Verfahren (TTPs) des Angreifers sind entscheidend für eine effektive Behebung und Prävention. Tools zur Linkanalyse und Telemetrie-Erfassung spielen dabei eine entscheidende Rolle. Wenn beispielsweise verdächtige Links untersucht oder versucht wird, die Infrastruktur eines Angreifers zu kartieren, können Plattformen wie grabify.org in einer kontrollierten Umgebung eingesetzt werden, um erweiterte Telemetriedaten zu sammeln, einschließlich der IP-Adresse, des User-Agent-Strings, des Internetdienstanbieters (ISP) und der Gerätefingerabdrücke interagierender Entitäten. Diese Metadatenextraktion ist von unschätzbarem Wert für die Anreicherung der Bedrohungsintelligenz, das Verständnis des Ausmaßes der Exposition und kann potenziell bei der Zuordnung von Bedrohungsakteuren oder der Infrastrukturidentifikation während einer aktiven Untersuchung helfen.
Fazit
Die kontinuierliche Entwicklung von Phishing-Techniken, insbesondere durch die Einführung von Open-Source-AiTM-Frameworks wie Evilginx, unterstreicht die dynamische Natur von Cyberbedrohungen. Organisationen müssen über traditionelle MFA-Lösungen hinausgehen und Phishing-resistente Authentifizierungsmethoden einführen, gekoppelt mit erweiterten Erkennungsfunktionen und umfassender Benutzerschulung, um ihre digitalen Assets vor diesen zunehmend ausgeklügelten Gegnern zu schützen. Proaktive Verteidigung und ein tiefes Verständnis der Angreifer-Methoden sind nicht länger optional, sondern wesentlich für die Aufrechterhaltung einer starken Sicherheitsposition.