MFA-Knackerkurse: Wie Forg365, Jalisco und OmegaLord die Zwei-Faktor-Authentifizierung aushebeln

Sicherheitsforscher dokumentieren eine drastische Zunahme von Phishing-as-a-Service (PhaaS)-Plattformen und -Kits, die speziell darauf ausgelegt sind, die Multi-Faktor-Authentifizierung (MFA) bei Microsoft 365-Konten zu umgehen. Statt kryptografische MFA-Abläufe zu knacken, kapern diese Angriffe den legitimen Authentifizierungsprozess selbst – sie fangen Sitzungstoken ab, missbrauchen OAuth-Gerätecodeflüsse oder leiten echte Logins über Proxy-Server um, sodass die eigene MFA-Freigabe des Opfers im Interesse des Angreifers wirkt .

Die wichtigsten Bedrohungen und Techniken

1. Forg365 – KI-gesteuerte PhaaS-Plattform

Erstmals am 9. Juli 2026 von ZeroBEC und BleepingComputer vorgestellt, ist Forg365 eine abonnementbasierte PhaaS-Plattform (400 $/Monat), die über Telegram vertrieben wird . Sie bündelt drei bahnbrechende Fähigkeiten:

• KI-gestützte Ködererstellung: Das Dashboard verwendet generative KI, um Phishing-E-Mails automatisch zu entwerfen, zu verfeinern und für bestimmte Branchen und Geschäftsszenarien zu lokalisieren – was die Hürde für technisches Können drastisch senkt .
• MFA-Umgehung auf zwei Wegen: Forg365 führt sowohl Adversary-in-the-Middle (AiTM)-Proxying (Weiterleitung echter Login-Sitzungen durch die Infrastruktur des Angreifers) als auch OAuth-Gerätecode-Phishing durch (das Opfer wird dazu gebracht, einen vom Angreifer bereitgestellten Code auf microsoft.com/devicelogin einzugeben, was den Client des Angreifers autorisiert) .
• Anti-Bot-Umgehung und Post-Kompromittierungs-Operationen: Die Plattform enthält Anti-Bot-Maßnahmen und Werkzeuge für automatisierte Postfach-Operationen nach der Kontoübernahme .

2. ForgCookie Browser-Erweiterung – Dauerhafter Zugriff

Eine begleitende Browser-Erweiterung namens ForgCookie ist mit Chrome, Edge und Brave kompatibel . Sobald die Sitzungstoken oder Cookies des Opfers geerntet wurden, erneuert ForgCookie die gestohlenen Sitzungscookies automatisch, sodass der Angreifer ohne erneute Authentifizierung auf Microsoft 365-Dienste (Outlook, Teams, OneDrive, SharePoint) zugreifen kann – selbst wenn das Opfer sein Passwort ändert . Dies verwandelt einen einmaligen Token-Diebstahl in einen dauerhaften, langfristigen Kompromiss.

3. Jalisco – Device-Code-Phishing Toolkit

Am 14. Juli 2026 von ReliaQuest und BleepingComputer enthüllt, ist Jalisco ein Gerätecode-Phishing-Kit, das aktiv gegen Microsoft 365-Konten eingesetzt wird . Es funktioniert wie folgt:

• Es werden E-Mails verschickt, die das Opfer auffordern, einen Gerätecode auf der legitimen Microsoft-Anmeldeseite einzugeben.
• Der Code gehört zu einer vom Angreifer kontrollierten OAuth-Anwendung.
• Das Opfer führt eine echte MFA auf Microsofts eigenen Servern durch – aber die resultierenden OAuth-Token werden an den abfragenden Client des Angreifers ausgegeben, nicht an das Opfer .

Das bedeutet, dass MFA nicht „geknackt“, sondern instrumentalisiert wird.

4. OmegaLord – Gefälschter PDF-Reader als Credential-Harvester

Ebenfalls am 14. Juli 2026 gemeldet, schlägt OmegaLord einen anderen Weg ein: Es tarnt sich als gefälschte PDF-Reader-Browserseite . Wenn Opfer auf der Seite landen:

• Werden sie aufgefordert, sich „anzumelden, um dieses gesicherte Dokument anzusehen“.
• Das Anmeldeformular erfasst Anmeldedaten und zugehörige Einmalpasswort-Codes (OTP) in Echtzeit.
• Angreifer verwenden die gestohlenen Anmeldedaten + OTP, um sich sofort zu authentifizieren, bevor das OTP abläuft .

5. Breiterer OAuth-Spoofing- und Device-Code-Ansturm

Mehrere Quellen bestätigen einen breiteren Branchentrend:

• Microsoft dokumentierte OAuth-Umleitungsmissbrauch gegen Regierungs- und öffentliche Organisationen im März 2026, unter Verwendung stiller OAuth-Abläufe und ungültiger Bereiche .
• Device-Code-Phishing-Kits wie Kali365, EvilTokens, Ghost Hub, Cyb3r und Tycoon2FA wurden alle 2026 aktiv gegen Microsoft 365 beobachtet, wobei Mai 2026 ein Spitzenmonat war .
• Das FBI gab im Mai 2026 eine öffentliche Bekanntmachung (PSA I-052126) heraus, die speziell vor Kali365 warnte, einer PhaaS-Plattform, die M365-Konten ohne Passwörter kapert, indem sie den OAuth-Geräteautorisierungs-Grant-Fluss missbraucht .

Wie MFA-Umgehung tatsächlich funktioniert

Die entscheidende Erkenntnis bei all diesen Bedrohungen ist, dass MFA technisch nicht besiegt wird – sie wird vereinnahmt:

Technik	Was passiert	Warum MFA es nicht verhindert
Device-Code-Phishing	Opfer gibt den Code des Angreifers auf der echten Microsoft-Anmeldeseite ein und führt seine eigene MFA durch	Der Token geht an die App des Angreifers. MFA hat den richtigen Benutzer freigegeben – für den falschen Client.
AiTM-Proxying	Opfer loggt sich über den Proxy des Angreifers ein, MFA wird normal durchgeführt	Der Angreifer erfasst das Sitzungscookie in Echtzeit und übernimmt die Sitzung.
Credential + OTP-Ernte	Gefälschtes Anmeldeformular erfasst Passwort und OTP gleichzeitig	OTP wird sofort vom Angreifer verwendet, bevor es abläuft.

Aus diesem Grund reicht die traditionelle MFA allein nicht mehr als Sicherheitsmaßnahme aus .

Sicherheitsempfehlungen der Forscher

Basierend auf mehreren Warnungen werden die folgenden Maßnahmen dringend empfohlen:

• Deaktivieren Sie OAuth-Gerätecodeflüsse für Ihren Mandanten, wenn Ihre Organisation sie nicht verwendet (z. B. über Conditional Access-Richtlinien, um die devicecode-Authentifizierung zu blockieren).
• Setzen Sie Conditional Access-Richtlinien durch, die konforme Geräte, vertrauenswürdige Standorte und Sitzungsrisikoprüfungen erfordern – nicht nur MFA.
• Überwachen Sie auf anomale OAuth-Anwendungsberechtigungen – insbesondere Apps, die offline_access, Mail.Read oder Files.ReadWrite.All-Berechtigungen anfordern.
• Blockieren Sie die Legacy-Authentifizierung und fordern Sie moderne Authentifizierung mit Token-Binding, wo möglich.
• Verwenden Sie Token-Schutz / Token-Binding (Microsofts „Token Theft Protection“-Funktionen), um Token an bestimmte Geräte zu binden.
• Setzen Sie phishing-resistente MFA ein (FIDO2-Sicherheitsschlüssel oder Windows Hello for Business), die nicht per Proxy umgangen werden kann.
• Schulen Sie Benutzer darin, Device-Code-Phishing-Köder zu erkennen, die sie auffordern, „diesen Code zur Überprüfung Ihres Kontos“ auf legitimen Microsoft-URLs einzugeben.
• Auditieren Sie Anmeldeprotokolle auf Authentifizierungen von unerwarteten IPs, ungewöhnlichen User-Agents und Gerätecode-Logins von nicht unternehmenseigenen Geräten.

Diese Empfehlungen stammen aus der FBI-PSA , dem Microsoft Security Blog , BleepingComputer und der ReliaQuest-Bedrohungsanalyse .

Zusammenfassung

Die Welle von Microsoft 365-Phishing-Angriffen im Jahr 2026 – angeführt von Forg365 (mit seiner ForgCookie-Persistenz-Erweiterung), Jalisco, OmegaLord und dem breiteren Ökosystem von Device-Code- und AiTM-Kits – markiert einen Paradigmenwechsel. Angreifer müssen keine Passwörter mehr stehlen oder MFA knacken. Stattdessen missbrauchen sie das OAuth-Vertrauensmodell, um die eigene Authentifizierung des Opfers zu nutzen, um eine vom Angreifer kontrollierte Sitzung zu autorisieren. Der Konsens der Sicherheitsgemeinschaft ist eine Null-Vertrauens-Haltung: Deaktivieren Sie ungenutzte Authentifizierungsflüsse, setzen Sie Conditional Access durch, überwachen Sie Token-Berechtigungen und bewegen Sie sich in Richtung phishing-resistenter MFA .