Deaktivieren Sie die Endbenutzer-App-Zustimmung, setzen Sie Admin-Genehmigungsworkflows durch und prüfen Sie kontinuierlich registrierte Weiterleitungs-URIs.
Belegte ATT&CK-Technik zum Erstzugriff+6
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
The Current Landscape of OAuth Attacks
Angreifer stehlen zunehmend OAuth-Tokens, um Multi-Faktor-Authentifizierung (MFA) zu umgehen und dauerhaften Zugriff auf Konten zu erhalten. Dies ermöglicht Kontoübernahmen, Datenexfiltration und lateralen Bewegung in Unternehmensnetzwerken. Unternehmen sollten Endbenutzer-App-Zustimmung deaktivieren, Admin-Genehmigungsworkflows durchsetzen und Weiterleitungs-URIs kontinuierlich prüfen, um sich zu schützen.
SecBoard-Einordnung
Der Diebstahl von OAuth-Tokens ermöglicht Angreifern, MFA zu umgehen und dauerhaften Zugriff auf Anwendungen und Daten zu erhalten, was zu schwerwiegenden Sicherheitsverletzungen führen kann.
Realistisch schlimmster Fall: Der schlimmste Fall ist eine vollständige Kontoübernahme, umfassende Datenexfiltration und unkontrollierte laterale Bewegung innerhalb des Unternehmensnetzwerks, was zu erheblichen finanziellen und reputativen Schäden führen kann.
Betroffen
Jede Organisation oder Einzelperson, die OAuth-verbundene Dienste nutzt, ist betroffen.
Prüfen
3- ▸Überprüfen Sie, ob die Endbenutzer-App-Zustimmung in Ihrer Umgebung deaktiviert ist.
- ▸Stellen Sie sicher, dass Admin-Genehmigungsworkflows für neue Anwendungen durchgesetzt werden.
▸ 1 weitere▾ weniger
- ▸Führen Sie regelmäßige Audits der registrierten Weiterleitungs-URIs durch, um verdächtige Einträge zu identifizieren.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Spezifische Branchen, die stärker betroffen sind, sind nicht im Artikel genannt.
- ▸Konkrete Angriffsvektoren für den Diebstahl der OAuth-Tokens sind nicht detailliert beschrieben.
- ▸Es werden keine spezifischen Tools oder Exploits genannt, die von Angreifern verwendet werden.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Unklar
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Können wir Initial Access detektieren?
- Können wir Defense Evasion detektieren?
MITRE ATT&CK(8)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Datenexfiltration“
„laterale Bewegung in Unternehmensnetzwerken.“
„Angreifer stehlen zunehmend OAuth-Tokens, um Multi-Faktor-Authentifizierung (MFA) zu umgehen und dauerhaften Zugriff auf Konten zu erhalten.“
„dauerhaften Zugriff auf Konten zu erhalten.“
„Angreifer stehlen zunehmend OAuth-Tokens, um Multi-Faktor-Authentifizierung (MFA) zu umgehen“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
1
Ausnutzung
0
Einnistung
0
Fernsteuerung
0
Zielhandlung
0
2 Techniken ohne Phasenzuordnung (z. B. Verteidigungsumgehung, die quer zu allen Phasen läuft)
Quellen & Belege· 1 Quelle
Frei veroeffentlichte Forschung eines Sicherheitsanbieters — nachpruefbare Technik, aber eigenes Vermarktungsinteresse. Kein bezogener Feed, deshalb PUBLIC statt COMMERCIAL_TI.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
ATT&CK-Heatmap