NovaCookies: AitM-Service, der Microsoft 365 und Okta Sitzungen stiehlt

Sicherheitsforscher haben die Existenz eines Adversary-in-the-@ mid (AitM)-Typ-Phishing-Tool namens NovaCookies berichtet, das als Proxy fungiert, um Microsoft 365-Login umzuleiten und Echtzeit-Authentifizierte Sitzungen zu erfassen. Nach dem Media-Sharing-Bericht der Inselfirma wird NovaCookies als Abonnement-Service (etwa US $320 pro Monat) vermarktet und hätte bereits gegen Hunderte von Organisationen in den Vereinigten Staaten, dem Vereinigten Königreich, Kanada, Deutschland, Israel und den Vereinigten Arabischen Emiraten eingesetzt.. Die Proofpoint-Firma hat ihrerseits NovaCookies als eine Variante des Kits namens Sneaky2FA bewertet, mit erweiterter Unterstützung für andere Identitätsanbieter wie Okta und Entre-Domains von GoDaddy.

Was passiert und wie es technisch funktioniert: NovaCookies arbeitet als AitM-Relais. In einer typischen Kette von Angriffen erhält das Opfer eine offensichtlich legitime Benachrichtigung (Island hat die Verwendung von tatsächlichen DocuSign Umschläge als Deko dokumentiert) zu einem schädlichen Dokument oder Link führt. Dieser Link löst eine Reihe von Texten aus, von denen einige authentische Endpunkte von Microsoft oder Google passieren können, bis sie die vom Angreifer kontrollierte Infrastruktur erreichen. Wenn das Opfer die geschmiedete Anmeldeseite erreicht und Anmeldeinformationen und MFA-Codes abschließt, überträgt das Kit diese Anmeldeinformationen an Microsoft in Echtzeit, um die Authentifizierung abzuschließen und die resultierende Sitzung zu erfassen (Cookies, Tokens, Single-Use-Codes).

Zwei wichtige technische Elemente machen den Betrug effektiv: Erstens, der Kanal der legitimen Dienste (z.B. DocuSign → Umleitung zu Microsoft → Angreifer-Relais) macht jeden Sprung scheinbar isoliert und zuverlässig; zweitens ermöglicht das Echtzeit-Relais dem Angreifer, legitime Authentifizierung mit erfassten Cookies oder Token in sofortigen Zugriff umzuwandeln. Island stellt auch fest, dass die Kit-Operatoren Vermeidungstechniken als Türen mit Cloudflare- und Anti-Debug-Checks verwenden, um eine Analyse durch automatische Scanner zu vermeiden.

Wie es verteilt und verwaltet wird: Die gesammelten Beweise weisen darauf hin, dass NovaCookies über Telegram angekündigt und verwaltet wird, was sowohl dazu dient, Affiliate anzuwerben als auch Umleitungen und Unterstützung zu konfigurieren. Das gemeldete Geschäftsmodell stammt von phishing-as-a-Service (PhaaS): Die Infrastruktur wird vom Betreiber zentral gepflegt und die Affiliate nutzen es unter Abo, im Gegensatz zu Modellen, in denen jeder Affiliate seinen eigenen Server bereitstellt. Die in Kampagnen beobachteten Domänen umfassen ungewöhnliche Erweiterungen wie .vu und URLs mit kapitalverändernden Tags, um Microsoft-Organe zu simulieren (z.B. PwPt-sHaRe, Ms36-AcCeSs), eine gemeinsame Strategie zur Vermeidung von Oberflächeninspektion.

Anwendungsbereich und Zweck: Berichte zeigen Angriffe auf Organisationen aus verschiedenen Sektoren und Ländern; die genaue Zahl der Opfer und die Identität der Dienstleistungsunternehmen werden nicht öffentlich bestätigt. Proofpoint und andere Forscher haben NovaCookies auf bestehende AitM Kits Familien und auf den breiteren Trend der Betrugswerbung durch PhaaS verwandt, was die technische Barriere für ökonomisch motivierte Akteure reduziert. Diese Plattformen erleichtern nicht nur die Erfassung von Token, sondern bieten jetzt ergänzende Dienstleistungen (Mailbox-Analyse, lockende Vorlagen, vishing Fähigkeiten mit IA), die die Wahrscheinlichkeit einer späteren finanziellen Ausbeutung erhöhen.

Was aufgegeben werden kann und was unsicher bleibt: Es ist angemessen zu schließen, dass NovaCookies Sitzungsdiebstahl und Zugang zu Corporate Mailboxes erleichtert, wenn Identitätskontrollen das AitM-Relais nicht blockieren. Was noch nicht öffentlich ist und mehr Forschung erfordert, umfasst die Zuschreibung des Hauptbetreibers, die genaue Höhe der wirtschaftlichen Schäden, die mit diesen Kampagnen verbunden sind, und ob die Infrastruktur von legitimen Dritten technische Unterstützung erhält, ohne sie zu kennen. Es ist auch eine Schätzung - basierend auf früheren Mustern -, dass diese PhaaS die Effektivität von Firmen-Mail-Verlobungsangriffen (BEC) und Finanzbetrug verbessert.

Reale Folgen: Für Organisationen und Nutzer ist die Hauptbedrohung nicht nur die Offenlegung von Passwörtern, sondern die Fähigkeit von Angreifern, dauerhaften Zugriff auf authentifizierte Konten zu erhalten, vorübergehend MFA zu verlassen und von bereits validierten Sitzungen zu operieren. Dies erleichtert die Datendiebstahl, die Vermehrung von Finanzbetrug und spätere Angriffe wie Seitenbewegungen innerhalb des Netzes.

Besondere Maßnahmen, die von Lesern (Benutzern und Verwaltern) zu ergreifen sind: nicht generische Empfehlungen aber konkrete und praktikable Maßnahmen:

1) Für Microsoft 365 / Azure AD-Administratoren: aktivieren und überprüfen Conditional Access Policy (Anwendung von Ort, Risiko und Geräte-Compliance-Beschränkung), aktivieren Sie die Möglichkeit, Sitzungen und aktualisieren Token sofort auf Verdacht (Microsoft-Dokument, wie man Sitzungen zu widerrufen: https: / / learn.microsoft.com / en-us / azure / active-directory / user-groups-roles / user-revoke-sign-in-sessions), und beachten Sie, dass AitM-resistente Authentifizierungsmethoden - zum Beispiel FIDO2 / Passkeys Sicherheitsschlüssel und Richtlinien, die den Fluss aufgrund von Gerätecodes blockieren, wenn nicht notwendig.

2) Für Sicherheitsausrüstung: überwachen abnormale Session-Startups, insbesondere Aktivität, die Cookies / Tokens-Änderungen oder Login von ungewöhnlichen Standorten / Agenten zeigt; suchen Sie nach OAuth-Umleitungen und Verkehrsmustern, die Echtzeit-Relais angeben; Hinzufügen von Erkennungen für Low-Reputation-Domains (wie ungewöhnliche Erweiterungen) und für URLs, die Kapitalfalländerung in Subdomains verwenden. Überprüfen Sie Post und SharePoint / OneDrive Protokolle für atypischen Zugriff nach Freigabe von Benachrichtigungen.

3) Für Endbenutzer: Vorsicht mit geteilten Dokumentenhinweisen, auch wenn sie von einem legitimen Absender ankommen. Anstatt Links innerhalb der E-Mail oder in HTML-Anhängen zu öffnen, greifen Sie direkt auf den Dienst zu (z.B. DocuSign oder OneDrive von Ihrem Firmenportal eingeben) und überprüfen Sie dort die freigegebenen Inhalte. Vermeiden Sie die Eingabe von Anmeldeinformationen oder MFA-Codes auf Seiten, deren URL nicht eindeutig validiert werden kann. Educate Teams über die Möglichkeit einer legitimen Post, die als Träger einer schädlichen Nutzlast fungiert.

4) Zusätzliche technische Maßnahmen: Ermöglichen Sie erweiterten Phishing-Schutz (ATP / Microsoft Defender for Office 365 oder gleichwertige Lösungen), verwenden Sie Remote-Navigation oder Isolation für unbekannte Links, und begrenzen Drittanbieter-Anwendungsberechtigungen mit OAuth. Überprüfen und stärken Sie SPF / DKIM / DMARC und halten Sie Richtlinien, um engagierte Konten als authentifizierte Absender zu minimieren.

Hintergrund: NovaCookies ist Teil einer großen Welle von PhaaS und AitM Kits, die sich schnell entwickeln. Kommerzielle Gruppen und Dienstleistungen auf dem heimischen Markt bieten jetzt Vorlagen, Management in Telegram und Escape-Module, die selbst Betreiber mit wenig Erfahrung zu erfolgreichen Verpflichtungen führen. Um allgemeine technische Abschwächung von Phishing- und guten Verteidigungspraktiken zu verstehen, halten CISA und Microsoft öffentliche Anleitungen aufrecht: CISA bietet z.B. praktische Ratschläge zum Schutz vor Phishing https: / / www.cisa.gov / Tipps / st04-014, und Microsoft-Dokumentation über OAuth-Flows und gute Authentifizierungspraktiken ist eine zentrale operative Referenz ( https: / / learn.microsoft.com / en-us / azure / active-directory / entwickeln / v2-oauth2-auth-code-flow)

Schlussfolgerung: NovaCookies führt kein neues Konzept ein, aber es konsolidiert und vermarktet AitM-Techniken, die den Schutz durch traditionelle Authentifizierungsströme erodieren. Die operative Reaktion erfordert die Kombination von widerstandsfähigeren Identitätsmaßnahmen, das Screening konzentriert sich auf Sitzungen und Änderungen des Nutzerverhaltens und die praktische Ausbildung, die den Empfängern vor der Verfolgung sogar scheinbar legitimer Links zweifeln lässt. Bis Identitätsplattformen diese Vektoren technisch mildern, sind Hygiene- und Verteidigungspolitiken die wirksamste Barriere.