Gerätecode Phishing Real Threat in Microsoft 365 ohne Fake Home Pages

Zwischen Ende Juni und den ersten Tagen des 20. Juli beschrieben ZeroBEC-Forscher eine aktive Phishing-Kampagne, die den legitimen Fluss der Microsoft 365 Geräte-Authentifizierung nutzt, um Konten zu entführen, unter Verwendung von kollaborativen Lures (Botschaften, Einladungen zu freigegebenen Ordnern, Zahlungshinweise), die das Opfer ermutigen, einen Gerätecode des Angreifers einzuführen. Die Bedrohung hängt nicht von traditionellen falschen Einkommensseiten ab: sie nutzt echte und zuverlässige Funktionalität, die es schwieriger macht, durch abgelenkte Benutzer und Kontrollen auf der Suche nach falschen Anmeldeformularen zu erkennen.

Die Technik, bekannt als Gerätecode Phishing, missbraucht den Standard OAuth 2.0 Device Authorization Grant-Mechanismus, entworfen für Geräte mit begrenzten Schnittstellen. In der Praxis beginnt ein Angreifer die Generierung eines Gerätecodes, täuscht das Opfer, es auf microsoft.com / devilaluation zu betreten und so autorisiert, ohne zu wissen, die von dem Angreifer kontrollierte Sitzung. Microsoft dokumentiert den Fluss und seine Eigenschaften in seinem technischen Leitfaden, die gelesen werden sollte, um zu verstehen, warum der Prozess legitim ist und welche Protokolle nach seinem Gebrauch hinterlassen werden: https: / / learn.microsoft.com / en-us / azure / active-directory / entwickeln / v2-oauth2-device-code.

Das beunruhigende an den Befunden ist die Industrialisierung des Angriffs. ZeroBEC und andere Geräte haben eine wiederverwendbare Schicht von Werkzeugen namens DEBULL und physisch-as-a-Service (PhaaS) Plattformen wie EvilTokens, ARToken oder Tycoon identifiziert, die von Code-Orchestrierung zu Postengagement-Panels packen, um Persistenz, Exfilter-E-Mails und Dateien zu erhalten und Business-E-Mail-Kompromiß (BEC) Kampagnen durch AI zu automatisieren. Dies wird, was vor einer komplexen Taktik war, zu einem zugänglichen Service für Betreiber mit unterschiedlichen Fähigkeiten, das Risiko und die Geschwindigkeit der Ausbreitung zu multiplizieren.

Die Implikationen sind schwer: Überwindung von MFA, Erhalt von gültigen Token ohne Stehlen von Passwörtern, Beharrlichkeit in Microsoft 365 Umgebungen, Zugriff auf Exchange, OneDrive / SharePoint und Seitenbewegungen unterstützt durch Microsoft Graphh APIs. Darüber hinaus ist die Verwendung von bereits zur Verteilung legitimer Links verpflichteten Konten für Empfänger, die dem Absender vertrauen, zuverlässig und erleichtert den Multiplikatoreffekt der Kampagnen.

Für einzelne Benutzer ist die unmittelbarste Empfehlung einfach, aber kritisch: niemals Gerätecodes eingeben, die Sie in einer Mail, Chat oder Anruf erreichen Wenn sie nicht auf dem Bildschirm angezeigt werden, wo Sie versuchen, zu authentifizieren. Behandeln Sie sie als sensibles OTP: Wenn Sie keine bewusste Handlung auf einem Kontrollgerät eingeleitet haben, autorisieren Sie nichts und kommunizieren Sie über verifizierte Kanäle mit der Person, die die Handlung angeblich beantragt.

Auf organisatorischer Ebene sollte Priorität gegeben werden, um das Missbrauchsfenster zu mildern und phishing-resistente Authentifizierungsmethoden zu fördern: Implementierung von phishing-resistenten Authentifikatoren (FIDO2, Windows Hello for Business), die von Conditional Access verwaltete oder konforme Geräte, Überwachung und Untersuchung von Sitzungen beginnen mit dem Grant-Typ "device _ code" in Azure AD Sign-In-Aufzeichnungen und Einrichtung von Warnungen für abnormale-Muster (Token aus ausländischen Standorten). Es wird auch empfohlen, die Exposition der Funktion zu überprüfen, wenn sie nicht verwendet wird und die Sperrung oder Beschränkung der Gerätezulassung auf kontrollierte Umgebungen auszuwerten. Für allgemeine Leitlinien zur Phishing-Prävention und guten Praktiken bietet die CISA nützliche öffentliche Mittel: https: / / www.cisa.gov / Veröffentlichung / Phishing.

Das Erkennen und Beantworten erfordert die Kombination von technischen Signalen und Prozessen: Korrelation von Authentifizierungsdaten, die die Verwendung von Gerätecodes mit Mail-Aktivität und Zugriff auf SharePoint / OneDrive, Block bekannte PhaaS-assoziierte Domänen und Infrastruktur, rotieren hohe Anmeldeinformationen und verwenden Sie just-in-time Zugriff und minimale Privilegien. Darüber hinaus sollte eine kontinuierliche Mitarbeiterschulung spezielle Beispiele für diesen Vektor und klare Überprüfungsverfahren für Zugriffsanfragen oder Zahlungen umfassen, die per Post oder Chat ankommen.

Schließlich betont die Entwicklung zu kompletten BEC-Panels, die von Affiliate und IA-getriebenen Funktionen betrieben werden, dass die Verteidigung proaktiv und adaptiv sein muss. Traditionelle MFA ist nicht genug; phishing-resistente Kontrollen, Sichtbarkeit in Authentifizierungsschleifen und Erkennungs- und Antwortprozesse, die annehmen, dass jedes Konto der Ausgangspunkt einer Kampagne sein kann. Die Kombination von Bildung, Ankurbelung der Identitätspolitik und operativer Sicht ist die praktischste Möglichkeit, die Auswirkungen dieser Kampagnen zu reduzieren.