Office365-Administratoren als Phishing-Ziel

[English]Noch ein kurzer Hinweis für Administratoren von Office365-Installationen. Es wurde eine Phishing-Kampagne festgestellt, die das Ziel hat, die Anmeldeinformationen von Office365-Administratoren abzugreifen.

Ich bin die Tage über diverse Quellen wie den nachfolgenden Tweet mit Verweis auf den Bleeping Computer-Artikel oder über threatpost.com auf das Thema aufmerksam geworden.

Phishing-Kampagne zielt auf Office 365-Admins mit einer Mail, die aussieht, als käme sie von Microsoft und Betreffs wie „Action required“ oder „We placed a hold on your account“ nutzt https://t.co/aZDXkLROV3 ^RW

— Trend Micro Deutschland (@TrendMicroDE) November 19, 2019

Sicherheitsexperten von PhishLabs schlagen Alarm, denn bei der von ihnen entdeckten Phishing-Mail-Kampagne werden echten Office 365-Konten bei existierenden Unternehmen zum Versenden missbraucht. Dadurch bleiben diese Phishing-Mails u.U. nicht in den SPAM-Filtern hängen, sondern werden an die Administratoren ausgeliefert.

Laut Michael Tyler von PhishLabs, ein auf den Schutz von Unternehmen spezialisierter Sicherheitsanbieter, versuchen Cyberkriminelle die Administratorkonten von Microsoft Office 365-Installationen über diesen Ansatz kompromittieren. Hier ist eine E-Mail aus einer solchen Phishing-Kampagne, die von PhishLabs abgefangen wurde.

(Phishing-Mail, Quelle: PhishLabs)

Die Links führen dann zu einer täuschen echt nachgemachten Phishing-Seite, die die Office365.com-Anmeldedialoge anzeigt, aber die ggf. eingetippten Anmeldedaten abfängt und an die Phisher weiterleitet.

(Screenshot einer Phishing-Seite, Quelle PhishLabs, Zum Vergrößern klicken)

Gelingt es, die Anmeldedaten eines Office365-Administratorkontos abzugreifen, verwenden sie diese Konten, um weitere Phishing-Mails an andere Empfänger zu versenden. Der Hintergrund: Damit wollen die Cyberkriminellen sicherstellen, dass ihre Phishing-E-Mails aus legitimen, validierten Domains stammen.

Admins als besonders lukratives Ziel

Für Bedrohungsakteure stellen Administratorkonten aus verschiedenen Gründen ein lukratives Ziel für das Abgreifen administrativer Anmeldeinformationen dar.

• Office 365-Administratoren haben zunächst die administrative Kontrolle über alle E-Mail-Konten einer Domäne. Abhängig von der aktuellen Konfiguration der Office 365-Instanz kann ein kompromittiertes Admin-Konto das Abrufen von Benutzer-E-Mails oder die vollständige Übernahme anderer E-Mail-Konten in der Domäne ermöglichen.
• Darüber hinaus arbeiten Office 365-Administratoren oft mit erhöhten Berechtigungen für andere Systeme innerhalb eines Unternehmens. Dadurch lassen sich möglicherweise weitere Konten durch Passwort-Rücksetzungsversuche oder Missbrauch von Single-Sign-On-Systemen kompromittieren.
• Schließlich können Angreifer durch die Gefährdung eines Admin-Kontos neue Konten innerhalb des Unternehmens erstellen. Diese ermöglicht Single-Sign-On-Systeme zu missbrauchen, oder die Reputation der kompromittierten Domäne lässt sich für eine neue Welle weiterer Angriffe nutzen.

Diese spezielle Taktik im letztgenannten Punkt wurde laut PhishLabs als Bestandteil der Kampagne, die Phishing-Köder von mehreren validierten Domains versenden, bestätigt. PhishLabs gibt in seinem Artikel Hinweise, woran die Phishing-Mails erkannt werden können – so dass ggf. SPAM-Filter entsprechend konfiguriert werden können. Administratoren sind zudem aufgerufen, Mails als potentiell kompromittiert anzusehen, auch wenn diese von legitimen Domains kommen. Häufig lässt sich bereits am Absender oder am Text erkennen, dass etwas nicht koscher ist. Spätestens den URL der ‘Anmeldeseite’ dürfte von den Microsoft Office365.com-Anmelde-Adressen (URLs) abweichen.