Alle drei Operationen waren Evilginx-basierte AiTM-Phishing-Kampagnen, die Microsoft-365-Anmeldeseiten über einen Reverse-Proxy leiteten, um Sitzungstoken zu stehlen, nachdem der Benutzer die MFA abgeschlossen hatte . Eine der drei Kampagnen hatte 218 erbeutete Konten aus 12 Ländern protokolliert, von denen 94 % Unternehmenspostfächer waren . Die Operationen nutzten zwei verschiedene Angriffspfade: Evilginx-Sitzungstoken-Diebstahl (über einen AiTM-Proxy) und Device-Code-Phishing – ein Kit leitete die Opfer direkt zur echten Microsoft-Geräte-Anmeldeseite, wo sie den Zugriff selbst autorisierten, während das Backend des Angreifers auf das Token wartete .

Forg365: Eine kommerzielle Phishing-as-a-Service-Plattform

Unabhängig davon wurde die Forg365-Phishing-as-a-Service (PhaaS)-Plattform von ZeroBEC-Forschern (gemeldet vom 9. bis 13. Juli 2026) identifiziert. Es handelt sich um ein kommerzielles, über Telegram vertriebenes Kit, das 400 US-Dollar pro Monat (oder 3.800 US-Dollar pro Jahr) kostet. Anders als die benutzerdefinierten Evilginx-Forks auf dem offengelegten Server bündelt Forg365 mehrere Angriffsmethoden und -werkzeuge in einem einzigen Bedienfeld .

Forg365 kombiniert drei Kernfähigkeiten:

• AiTM-Proxy – ein transparenter Reverse-Proxy, der Sitzungstoken erfasst, nachdem der Benutzer die MFA abgeschlossen hat
• Device-Code-Phishing – missbraucht den legitimen OAuth-Gerätecode-Fluss von Microsoft. Der Benutzer schließt die Authentifizierung auf einer echten Microsoft-Seite ab, ohne dass der Angreifer jemals sein Passwort sieht
• KI-gestützte Ködererstellung – nutzt KI zur Erstellung überzeugender Phishing-E-Mails und Landing Pages, die SharePoint, OneDrive, DocuSign und Adobe Acrobat Sign imitieren

Die Plattform umfasst auch Antibot-Umgehung (erkennt Sandboxen und Sicherheits-Crawler), Post-Kompromittierungs-Postfachzugriff (Betreiber können E-Mails aus dem Panel heraus durchsuchen und exfiltrieren), SMTP-Rotation und Kampagnenplanung .

Ein Angriff stiehlt Token nach der MFA, der andere missbraucht ein legitimes Protokoll

Diese beiden Entdeckungen verdeutlichen den entscheidenden Unterschied zwischen AiTM-Proxy-Angriffen und Device-Code-Missbrauch. Das Verständnis des Unterschieds ist essenziell, denn derselbe Schutz wirkt nicht gegen beide:

• AiTM-Proxy-Angriffe (Evilginx-Stil): Der Angreifer richtet eine gefälschte Anmeldeseite ein, die den Datenverkehr zur echten Microsoft-Anmeldeseite weiterleitet. Der Benutzer gibt sein Passwort ein und schließt die MFA auf dem Proxy des Angreifers ab. Nach erfolgreicher Authentifizierung stellt Microsoft ein Sitzungscookie aus, von dem es glaubt, dass es zum Browser des legitimen Benutzers gehört – aber dieses Cookie landet tatsächlich im Proxy des Angreifers, nicht im Browser des Benutzers. Der Angreifer kann dieses Cookie dann wiederverwenden, um auf das Microsoft-365-Konto des Opfers zuzugreifen .

• Device-Code-Phishing: Der Angreifer generiert einen legitimen Microsoft-Gerätecode (einen kurzen Code, der für die Anmeldung auf geräten ohne Tastatur wie Smart-TVs verwendet wird) und sendet ihn dem Opfer in einer Phishing-E-Mail. Das Opfer besucht die echte Microsoft-Anmeldeseite, gibt den Code ein, schließt die MFA ab und autorisiert die Anwendung des Angreifers. Es wird nichts „umgangen“ – das Opfer hat den Zugriff autorisiert. Das Backend des Angreifers fragt dann bei Microsoft nach dem Token .

Empfohlene Abwehrmaßnahmen: Welche Kontrollen stoppen welchen Angriff

Abwehr von Adversary-in-the-Middle-Proxy-Angriffen (Evilginx-Stil)

Der wirksamste Einzelschutz gegen AiTM-Proxy-Angriffe ist phishing-resistente MFA, insbesondere FIDO2/WebAuthn und Passkeys. Diese binden die Anmeldedaten an den legitimen Domainnamen. Wenn der Browser des Benutzers eine Verbindung zur Proxy-Seite des Angreifers (mit einer anderen Domain) herstellt, erkennt das Authentifizierungsprotokoll die Domain-Diskrepanz und blockiert den Austausch der Anmeldedaten automatisch .

Weitere Abwehrmaßnahmen umfassen:

• Conditional Access-Richtlinien (Entra ID): Verlangen Sie konforme Geräte und vertrauenswürdige Standorte, um die Tokenausgabe von nicht vertrauenswürdigen Proxys zu blockieren
• Continuous Access Evaluation (CAE): Ermöglicht die nahezu sofortige Widerrufung von Token, wenn riskante Bedingungen erkannt werden
• Überwachung auf anomale Token-Nutzung: Achten Sie auf Token, die von einer anderen IP oder einem anderen Land verwendet werden als dem, wo sie ausgestellt wurden, auf unmögliche Reisen und „unbekannte Anmeldeeigenschaften“
• Blockieren Sie neu registrierte Phishing-Domains: Überwachen Sie Domains, die in den letzten 30 Tagen registriert wurden und auf bekannte Hosting-IP-Bereiche für Phishing-Infrastruktur verweisen

Abwehr von Device-Code-Authentifizierungsmissbrauch

Device-Code-Phishing erfordert nicht, dass der Angreifer das Opfer dazu bringt, Anmeldedaten auf einer gefälschten Seite einzugeben – der Benutzer interagiert mit der echten Microsoft-Anmeldeseite. Das bedeutet, dass FIDO2/Passkeys allein nicht vollständig vor diesem Angriff schützen, da der legitime OAuth-Fluss verwendet wird .

Die primäre Abwehrmaßnahme besteht darin, den Device-Code-OAuth-Grant für Benutzer zu blockieren, die ihn nicht benötigen, und zwar mit Microsoft Entra ID Conditional Access:

• Erstellen Sie eine Richtlinie, die die Bedingung „Authentifizierungsflüsse“ verwendet, um den Geräte-Code-Fluss für alle Benutzer zu blockieren, mit Ausnahme einer dokumentierten Ausnahmegruppe
• Führen Sie die Richtlinie zunächst im Nur-Bericht-Modus aus oder überprüfen Sie die historischen Anmeldeprotokolle, um die legitime Nutzung des Geräte-Codes zu identifizieren (z. B. Smart-TVs, Konferenzraumgeräte)
• Planen Sie eine Ausnahme für den Device Registration Service (DRS) ein, da die Blockierung des Geräte-Code-Flusses Autopilot und die Windows-Geräteregistrierung beeinträchtigen kann

Zusätzliche Abwehrmaßnahmen:

• Beschränken Sie App-Zustimmungen und OAuth-Berechtigungsumfänge: Begrenzen Sie, welche Apps Geräte-Code-Grants verwenden können, und überprüfen Sie regelmäßig die zugestimmten Anwendungen
• Setzen Sie auch für Device-Code-Flüsse phishing-resistente MFA ein: Obwohl keine vollständige Lösung, reduzieren FIDO2-Hardware-Schlüssel oder zertifikatsbasierte Authentifizierung die Angriffsfläche dennoch

Das Fazit

Die öffentliche Bekanntmachung des FBI vom Mai 2026 zur Kali365-PhaaS-Plattform empfahl ausdrücklich die Blockierung des Geräte-Code-Flusses als primäre Abwehrmaßnahme . Da Phishing-Plattformen wie Forg365 diese Angriffstechniken weiter kommerzialisieren, ist die operative Dringlichkeit für Verteidiger klar: Setzen Sie FIDO2/Passkeys für alle privilegierten Konten ein, um AiTM-Proxy-Angriffe zu stoppen, und verwenden Sie Conditional Access, um den Geräte-Code-Grant für Benutzer zu deaktivieren, die ihn nicht benötigen. Ein offenes Verzeichnis hat vielleicht drei Kampagnen offengelegt – aber die Lehren gelten für jeden Microsoft-365-Mandanten.

Alle drei Operationen waren Evilginx-basierte AiTM-Phishing-Kampagnen, die Microsoft-365-Anmeldeseiten über einen Reverse-Proxy leiteten, um Sitzungstoken zu stehlen, nachdem der Benutzer die MFA abgeschlossen hatte . Eine der drei Kampagnen hatte 218 erbeutete Konten aus 12 Ländern protokolliert, von denen 94 % Unternehmenspostfächer waren . Die Operationen nutzten zwei verschiedene Angriffspfade: Evilginx-Sitzungstoken-Diebstahl (über einen AiTM-Proxy) und Device-Code-Phishing – ein Kit leitete die Opfer direkt zur echten Microsoft-Geräte-Anmeldeseite, wo sie den Zugriff selbst autorisierten, während das Backend des Angreifers auf das Token wartete .

Forg365: Eine kommerzielle Phishing-as-a-Service-Plattform

Unabhängig davon wurde die Forg365-Phishing-as-a-Service (PhaaS)-Plattform von ZeroBEC-Forschern (gemeldet vom 9. bis 13. Juli 2026) identifiziert. Es handelt sich um ein kommerzielles, über Telegram vertriebenes Kit, das 400 US-Dollar pro Monat (oder 3.800 US-Dollar pro Jahr) kostet. Anders als die benutzerdefinierten Evilginx-Forks auf dem offengelegten Server bündelt Forg365 mehrere Angriffsmethoden und -werkzeuge in einem einzigen Bedienfeld .

Forg365 kombiniert drei Kernfähigkeiten:

• AiTM-Proxy – ein transparenter Reverse-Proxy, der Sitzungstoken erfasst, nachdem der Benutzer die MFA abgeschlossen hat
• Device-Code-Phishing – missbraucht den legitimen OAuth-Gerätecode-Fluss von Microsoft. Der Benutzer schließt die Authentifizierung auf einer echten Microsoft-Seite ab, ohne dass der Angreifer jemals sein Passwort sieht
• KI-gestützte Ködererstellung – nutzt KI zur Erstellung überzeugender Phishing-E-Mails und Landing Pages, die SharePoint, OneDrive, DocuSign und Adobe Acrobat Sign imitieren

Die Plattform umfasst auch Antibot-Umgehung (erkennt Sandboxen und Sicherheits-Crawler), Post-Kompromittierungs-Postfachzugriff (Betreiber können E-Mails aus dem Panel heraus durchsuchen und exfiltrieren), SMTP-Rotation und Kampagnenplanung .

Ein Angriff stiehlt Token nach der MFA, der andere missbraucht ein legitimes Protokoll

Diese beiden Entdeckungen verdeutlichen den entscheidenden Unterschied zwischen AiTM-Proxy-Angriffen und Device-Code-Missbrauch. Das Verständnis des Unterschieds ist essenziell, denn derselbe Schutz wirkt nicht gegen beide:

• AiTM-Proxy-Angriffe (Evilginx-Stil): Der Angreifer richtet eine gefälschte Anmeldeseite ein, die den Datenverkehr zur echten Microsoft-Anmeldeseite weiterleitet. Der Benutzer gibt sein Passwort ein und schließt die MFA auf dem Proxy des Angreifers ab. Nach erfolgreicher Authentifizierung stellt Microsoft ein Sitzungscookie aus, von dem es glaubt, dass es zum Browser des legitimen Benutzers gehört – aber dieses Cookie landet tatsächlich im Proxy des Angreifers, nicht im Browser des Benutzers. Der Angreifer kann dieses Cookie dann wiederverwenden, um auf das Microsoft-365-Konto des Opfers zuzugreifen .

• Device-Code-Phishing: Der Angreifer generiert einen legitimen Microsoft-Gerätecode (einen kurzen Code, der für die Anmeldung auf geräten ohne Tastatur wie Smart-TVs verwendet wird) und sendet ihn dem Opfer in einer Phishing-E-Mail. Das Opfer besucht die echte Microsoft-Anmeldeseite, gibt den Code ein, schließt die MFA ab und autorisiert die Anwendung des Angreifers. Es wird nichts „umgangen“ – das Opfer hat den Zugriff autorisiert. Das Backend des Angreifers fragt dann bei Microsoft nach dem Token .

Empfohlene Abwehrmaßnahmen: Welche Kontrollen stoppen welchen Angriff

Abwehr von Adversary-in-the-Middle-Proxy-Angriffen (Evilginx-Stil)

Der wirksamste Einzelschutz gegen AiTM-Proxy-Angriffe ist phishing-resistente MFA, insbesondere FIDO2/WebAuthn und Passkeys. Diese binden die Anmeldedaten an den legitimen Domainnamen. Wenn der Browser des Benutzers eine Verbindung zur Proxy-Seite des Angreifers (mit einer anderen Domain) herstellt, erkennt das Authentifizierungsprotokoll die Domain-Diskrepanz und blockiert den Austausch der Anmeldedaten automatisch .

Weitere Abwehrmaßnahmen umfassen:

• Conditional Access-Richtlinien (Entra ID): Verlangen Sie konforme Geräte und vertrauenswürdige Standorte, um die Tokenausgabe von nicht vertrauenswürdigen Proxys zu blockieren
• Continuous Access Evaluation (CAE): Ermöglicht die nahezu sofortige Widerrufung von Token, wenn riskante Bedingungen erkannt werden
• Überwachung auf anomale Token-Nutzung: Achten Sie auf Token, die von einer anderen IP oder einem anderen Land verwendet werden als dem, wo sie ausgestellt wurden, auf unmögliche Reisen und „unbekannte Anmeldeeigenschaften“
• Blockieren Sie neu registrierte Phishing-Domains: Überwachen Sie Domains, die in den letzten 30 Tagen registriert wurden und auf bekannte Hosting-IP-Bereiche für Phishing-Infrastruktur verweisen

Abwehr von Device-Code-Authentifizierungsmissbrauch

Device-Code-Phishing erfordert nicht, dass der Angreifer das Opfer dazu bringt, Anmeldedaten auf einer gefälschten Seite einzugeben – der Benutzer interagiert mit der echten Microsoft-Anmeldeseite. Das bedeutet, dass FIDO2/Passkeys allein nicht vollständig vor diesem Angriff schützen, da der legitime OAuth-Fluss verwendet wird .

Die primäre Abwehrmaßnahme besteht darin, den Device-Code-OAuth-Grant für Benutzer zu blockieren, die ihn nicht benötigen, und zwar mit Microsoft Entra ID Conditional Access:

• Erstellen Sie eine Richtlinie, die die Bedingung „Authentifizierungsflüsse“ verwendet, um den Geräte-Code-Fluss für alle Benutzer zu blockieren, mit Ausnahme einer dokumentierten Ausnahmegruppe
• Führen Sie die Richtlinie zunächst im Nur-Bericht-Modus aus oder überprüfen Sie die historischen Anmeldeprotokolle, um die legitime Nutzung des Geräte-Codes zu identifizieren (z. B. Smart-TVs, Konferenzraumgeräte)
• Planen Sie eine Ausnahme für den Device Registration Service (DRS) ein, da die Blockierung des Geräte-Code-Flusses Autopilot und die Windows-Geräteregistrierung beeinträchtigen kann

Zusätzliche Abwehrmaßnahmen:

• Beschränken Sie App-Zustimmungen und OAuth-Berechtigungsumfänge: Begrenzen Sie, welche Apps Geräte-Code-Grants verwenden können, und überprüfen Sie regelmäßig die zugestimmten Anwendungen
• Setzen Sie auch für Device-Code-Flüsse phishing-resistente MFA ein: Obwohl keine vollständige Lösung, reduzieren FIDO2-Hardware-Schlüssel oder zertifikatsbasierte Authentifizierung die Angriffsfläche dennoch

Das Fazit

Die öffentliche Bekanntmachung des FBI vom Mai 2026 zur Kali365-PhaaS-Plattform empfahl ausdrücklich die Blockierung des Geräte-Code-Flusses als primäre Abwehrmaßnahme . Da Phishing-Plattformen wie Forg365 diese Angriffstechniken weiter kommerzialisieren, ist die operative Dringlichkeit für Verteidiger klar: Setzen Sie FIDO2/Passkeys für alle privilegierten Konten ein, um AiTM-Proxy-Angriffe zu stoppen, und verwenden Sie Conditional Access, um den Geräte-Code-Grant für Benutzer zu deaktivieren, die ihn nicht benötigen. Ein offenes Verzeichnis hat vielleicht drei Kampagnen offengelegt – aber die Lehren gelten für jeden Microsoft-365-Mandanten.