Überprüfung und Stärkung der OAuth-Gerätecode-Authentifizierungsprotokolle und Sensibilisierung der Benutzer für Phishing-Angriffe, die diese Methode nutzen.
Belegte ATT&CK-Technik zum Erstzugriff+6
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
FBI warns of Kali365 phishing service targeting Microsoft 365 accounts
The FBI is warning about the Kali365 phishing-as-a-service platform (PhaaS) that is used to hijack Microsoft 365 accounts by abusing OAuth device code authentication to steal session tokens and bypass multi-factor authentication (MFA). [...]
SecBoard-Einordnung
Diese Phishing-Methode umgeht die Multi-Faktor-Authentifizierung, eine kritische Sicherheitsbarriere. Der Diebstahl von Session-Tokens ermöglicht es Angreifern, sich als legitime Benutzer auszugeben, ohne Anmeldeinformationen zu benötigen.
Realistisch schlimmster Fall: Komplette Übernahme von Microsoft 365-Konten, was zu unbefugtem Zugriff auf E-Mails, Dokumente und andere sensible Daten führen kann, selbst wenn MFA aktiviert ist.
Betroffen
Organisationen, die Microsoft 365-Konten nutzen und OAuth-Gerätecode-Authentifizierung verwenden.
Prüfen
3- ▸Überprüfen Sie die Protokolle für die OAuth-Gerätecode-Authentifizierung in Ihrer Microsoft 365-Umgebung auf ungewöhnliche oder verdächtige Aktivitäten.
- ▸Stellen Sie sicher, dass Ihre Microsoft 365-Sicherheitsrichtlinien die Verwendung von OAuth-Gerätecodes einschränken oder überwachen, insbesondere für nicht verwaltete Geräte.
▸ 1 weitere▾ weniger
- ▸Führen Sie Phishing-Simulationen durch, die auf die Umgehung der MFA durch den Diebstahl von Session-Tokens abzielen, um die Widerstandsfähigkeit Ihrer Benutzer und Systeme zu testen.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Es wird nicht spezifiziert, welche spezifischen Branchen oder geografischen Regionen am stärksten betroffen sind.
- ▸Es werden keine spezifischen Indikatoren für Kompromittierung (IOCs) genannt.
- ▸Es werden keine spezifischen Gegenmaßnahmen oder Konfigurationen für Microsoft 365 genannt, die die OAuth-Gerätecode-Authentifizierung härten könnten.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Unklar
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Können wir Initial Access detektieren?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(4)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„FBI warns of Kali365 phishing service“
„steal session tokens“
„steal session tokens and bypass multi-factor authentication (MFA)“
„bypass multi-factor authentication (MFA)“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
1
Ausnutzung
0
Einnistung
0
Fernsteuerung
0
Zielhandlung
0
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
ATT&CK-Heatmap