Russische Hacker nutzen Microsoft OAuth für Angriffe auf Ukraine-Verbündete

MÜNCHEN (IT BOLTWISE) – Russische Hackergruppen haben eine neue Angriffsmethode entwickelt, um gezielt Microsoft 365-Konten von Personen und Organisationen mit Verbindungen zur Ukraine zu kompromittieren. Diese Angriffe, die seit März 2025 beobachtet werden, nutzen raffinierte Social-Engineering-Techniken, um Opfer dazu zu bringen, OAuth-Codes preiszugeben.

Russische Hackergruppen haben ihre Angriffsmethoden weiterentwickelt und nutzen nun Microsoft OAuth 2.0-Authentifizierungsprozesse, um gezielt Personen und Organisationen mit Verbindungen zur Ukraine anzugreifen. Diese Angriffe, die seit März 2025 verstärkt beobachtet werden, zielen darauf ab, unbefugten Zugriff auf Microsoft 365-Konten zu erlangen. Die Angreifer setzen dabei auf ausgeklügelte Social-Engineering-Techniken, um ihre Opfer zu täuschen.

Im Gegensatz zu früheren Angriffen, bei denen Phishing-Techniken zum Einsatz kamen, setzen die Hacker nun auf direkte Interaktionen mit den Opfern. Sie geben sich als europäische Regierungsbeamte aus und nutzen kompromittierte ukrainische Regierungskonten, um das Vertrauen der Zielpersonen zu gewinnen. Über Messaging-Apps wie Signal und WhatsApp werden die Opfer kontaktiert und zu vermeintlichen Videokonferenzen eingeladen, die in Wirklichkeit dazu dienen, die Opfer zur Preisgabe von OAuth-Codes zu bewegen.

Die Angreifer verwenden dabei Links, die auf offizielle Microsoft-URLs weiterleiten, um Authentifizierungstoken zu generieren. Diese Token erscheinen dann in der URL oder auf der Weiterleitungsseite. Die Opfer werden dazu gebracht, diese Codes mit den Angreifern zu teilen, was diesen den Zugriff auf die Microsoft 365-Konten ermöglicht. Ein besonders raffinierter Aspekt dieser Angriffe ist, dass sie vollständig über die Infrastruktur von Microsoft ablaufen, was die Erkennung und Verhinderung erschwert.

Ein weiteres bemerkenswertes Merkmal dieser Angriffe ist die Nutzung von bereits kompromittierten ukrainischen Regierungskonten, um gezielte Spear-Phishing-E-Mails zu versenden. Diese E-Mails laden die Opfer zu Konferenzen ein, die angeblich die Zusammenarbeit der Ukraine mit internationalen Partnern thematisieren. Die Angreifer missbrauchen die Microsoft 365-Authentifizierungs-API, um sich dauerhaft Zugang zu den Konten der Opfer zu verschaffen.

Um diese Angriffe zu erkennen und zu verhindern, sollten Organisationen neu registrierte Geräte überprüfen und ihre Mitarbeiter über die Risiken von unaufgeforderten Kontakten auf Messaging-Plattformen aufklären. Zudem sollten Zugriffsrichtlinien implementiert werden, die den Zugang zu Unternehmensressourcen auf genehmigte oder verwaltete Geräte beschränken. Diese Maßnahmen sind entscheidend, um die Sicherheit der betroffenen Systeme zu gewährleisten.

Die jüngsten Kampagnen zeigen, dass Angreifer zunehmend auf die Nutzung von Microsofts eigener Infrastruktur setzen, um ihre Ziele zu erreichen. Da keine von Angreifern kontrollierte Infrastruktur verwendet wird, ist die Prävention und Erkennung dieser Techniken besonders herausfordernd. Unternehmen müssen daher verstärkt auf die Schulung ihrer Mitarbeiter und die Implementierung von Sicherheitsrichtlinien setzen, um sich gegen solche Angriffe zu wappnen.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!