Eine neue, furchterregend wirksame Bedrohung schwebt über Millionen von professionellen Konten. Das FBI hat offiziell eine Warnung bezüglich Kali365 herausgegebeneine PhaaS-Plattform (Phishing-as-a-Service), die über Telegram verkauft wird. Sein Ziel: Microsoft 365-Konten hacken indem die Multi-Faktor-Authentifizierung (MFA) völlig überflüssig gemacht wird. Der Angriff zielt nicht mehr darauf ab, Passwörter zu stehlen, sondern direkt Sitzungstoken zu stehlen die beweisen, dass ein Benutzer bereits verbunden und authentifiziert ist.
Wie funktioniert dieser neue Cyberangriff?
Der Einfallsreichtum von Kali365 liegt darin, einen legitimen Microsoft-Authentifizierungsprozess zu kapern, den „Gerätecodefluss“. Dieser Mechanismus ist ursprünglich für den Anschluss von Geräten mit geringer Eingangskapazität konzipiert, beispielsweise einem Drucker oder einem Smart-TV. Hacker versenden eine Phishing-E-Mail enthält einen einfachen Code und einen Link zur offiziellen Microsoft-Anmeldeseite („microsoft.com/devicelogin“).
Das Opfer glaubt, es handele sich um eine Routinehandlung und gibt den auf einer vertrauenswürdigen Seite bereitgestellten Code ein. Dadurch erlaubt sie nur, dass das Gerät des Angreifers in ihrem Namen eine Verbindung herstellt. Anschließend erhält der Hacker ein OAuth-ZugriffstokenDadurch erhalten sie vollen Zugriff auf die Umgebung des Opfers (Outlook, Teams, OneDrive), ohne dass sie jemals das Passwort benötigen oder die MFA vereiteln müssen. Die Sicherheitsschranke wird einfach umgangen.
Warum ist die Multi-Faktor-Authentifizierung machtlos?
Für Hacker geht es nicht mehr darum, ein Passwort zu stehlen, das die MFA blockieren könnte, sondern darum, den Menschen so zu manipulieren, dass er selbst eine legitime Autorisierung erteilt. Der Benutzer authentifiziert sich auf der echten Microsoft-Website, validiert die MFA-Benachrichtigung auf seinem Telefon und glaubt, eine Transaktion gesichert zu haben. Allerdings ist die letzte Aktion, dieser berühmte „Klick“, die Zustimmung. Einwilligung, die dem Hacker dauerhaften Zugang verschafft.
Das ist das ganze Problem beim „Consent-Phishing“. Im Laufe der Jahre wurde uns das Klicken beigebracht Klicken Sie auf „Akzeptieren“, ohne darüber nachzudenken, Apps von Drittanbietern mit unseren Konten zu verknüpfen. Hacker machen sich diese Angewohnheit zunutze. Sobald das Token erhalten wurde, kann es Wochen oder sogar Monate lang gültig bleiben und sogar eine Passwortänderung überstehen. Der Angreifer hat dann dauerhaften und diskreten Zugriff auf das gesamte Microsoft 365-Ökosystem. seines Ziels.
Welche Lösungen gibt es zum Schutz Ihres Unternehmens?
Angesichts dieser Bedrohung, die auf Vertrauen und legitimen Mechanismen beruht, muss die Verteidigung weiterentwickelt werden. Das FBI und Cybersicherheitsexperten befürworten feste technische Maßnahmen, anstatt sich ausschließlich auf die Wachsamkeit der Mitarbeiter zu verlassen, was hier leicht zu täuschen ist.
Die wichtigste Empfehlung besteht darin, die Richtlinien für den bedingten Zugriff drastisch zu überprüfen (Richtlinien für bedingten Zugriff) in der Microsoft-Verwaltungsoberfläche. Ideal ist es, den Gerätecode-Authentifizierungsfluss zu blockieren oder, falls dies nicht gelingt, stark einzuschränken. Es ist möglich, die Nutzung auf bestimmte Benutzer, bekannte IP-Adressen oder registrierte und kompatible Geräte zu beschränken. Eine Protokollprüfung Die Verbindung ist auch wichtig, um eine abnormale oder verdächtige Nutzung dieser Funktionalität zu erkennen.
Häufig gestellte Fragen (FAQ)
Was genau ist Kali365?
Kali365 ist eine Cybercrime-Plattform, die als Service (PhaaS) verkauft wird. Es stellt Hackern, auch ungeübten, „schlüsselfertige“ Tools (E-Mail-Vorlagen, Dashboards) zur Verfügung, mit denen sie anspruchsvolle Phishing-Kampagnen durchführen können, die darauf abzielen, die Multi-Faktor-Authentifizierung auf Microsoft 365-Konten zu umgehen.
Bin ich gefährdet, wenn ich die Multi-Faktor-Authentifizierung verwende?
Ja. Der von Kali365 verwendete Gerätecode-Phishing-Angriff ist speziell darauf ausgelegt, MFA zu umgehen. Ihr Schutz beruht darauf, dass der Benutzer dazu verleitet wird, den Angreifer zu autorisieren, nachdem er sich authentifiziert hat. MFA allein reicht daher nicht aus, wenn Ihre Sicherheitsrichtlinien diese Art der Verbindung zulassen.
