Die Beschaffungsfalle: Microsoft-365-Sitzungen im Visier

• Angriffsvektor: Die Angreifer kapern legitime Websites kleiner Unternehmen sowie Outlook-Konten, um Phishing-Links zu hosten und zu verbreiten. Die Angriffe werden über eine scheinbar vertrauenswürdige Infrastruktur geleitet .
• Ziele: Die Kampagne zielt explizit auf Universitäten, Unternehmen und multinationale Institutionen ab, darunter Einrichtungen der Europäischen Union und der Vereinten Nationen .
• Mehrere AiTM-Kits im Einsatz: Die Angreifer tauschen zwischen verschiedenen Phishing-as-a-Service (PhaaS)-Kits:
  • EvilProxy – ein PhaaS-Kit, das Sitzungscookies abfängt, um SMS-Codes, Authenticator-Apps und Push-Benachrichtigungen zu umgehen .
  • FlowerStorm – ein weit verbreitetes PhaaS-Angebot, das kürzlich eine browserbasierte virtuelle Maschine zur Verschleierung einsetzte, um E-Mail-Schutzmaßnahmen zu umgehen .
  • Kali365 – eine PhaaS-Plattform, die erstmals im April 2026 gesichtet wurde und über Telegram vertrieben wird. Kali365 nutzt Gerätecode-Phishing, um Sitzungstoken zu stehlen, ohne dass Passwörter oder MFA-Codes erforderlich sind .
• Massenhaft registrierte algorithmische Domains (RDGAs) erzeugen eine hohe Anzahl von Phishing-URLs, die schnell wechseln und kaum blocklistfähig sind .

Wie der Angriff technisch funktioniert

Der Angreifer richtet eine zwischengeschaltete Phishing-Seite ein, die als Live-Reverse-Proxy zwischen dem Opfer und dem legitimen Microsoft-365-Authentifizierungsdienst fungiert . Gibt das Opfer seine Zugangsdaten ein und schließt die MFA ab, fängt der Proxy das resultierende Sitzungscookie ab, bevor es den Browser des Opfers erreicht. Der Angreifer importiert dieses Cookie dann in seinen eigenen Browser und erhält vollen Zugriff auf Exchange Online, SharePoint, OneDrive sowie auf alle verbundenen Apps des Opfers .

Mehrere Quellen beschreiben denselben Mechanismus: Der Proxy erlaubt eine bidirektionale Echtzeit-Kommunikation, während herkömmliches Phishing nur Login-Seiten klont und Zugangsdaten stiehlt . Da das Sitzungstoken belegt, dass der Nutzer bereits die MFA bestanden hat, muss der Angreifer die MFA selbst nie knacken .

Warum herkömmliche MFA nicht ausreicht

Microsoft selbst warnt davor, dass AiTM-Phishing gängige MFA-Methoden wie SMS-Codes, Authenticator-App-Push-Benachrichtigungen und TOTP-Token umgeht . Das Sitzungscookie, das nach erfolgreicher MFA ausgestellt wird, ist die Beute: Wird es gestohlen, kann es von jedem Gerät und jedem Ort aus wiederverwendet werden, bis das Token abläuft oder administrativ widerrufen wird.

Der Infoblox-Bericht betont, dass traditionelle MFA unzureichend ist, da AiTM-Proxys das Sitzungstoken stehlen, das nach erfolgreicher MFA erzeugt wird . Das Grundproblem ist architektonisch: Der Proxy sitzt zwischen dem Nutzer und dem echten Authentifizierungsendpunkt – klassische MFA kann das nicht erkennen.

Von Infoblox empfohlene Schutzmaßnahmen jenseits von MFA

Infoblox empfiehlt eine mehrschichtige Verteidigungsstrategie, die sich nicht auf MFA als einzigen Schutz verlässt:

1. DNS-Sicherheit – Verdächtige und neu registrierte algorithmische Domains auf DNS-Ebene blockieren, bevor Nutzer sie erreichen .
2. Phishing-resistente Anmeldeverfahren – FIDO2/WebAuthn-Hardwaresicherheitsschlüssel oder Windows Hello for Business einsetzen. Diese Verfahren binden die kryptografische Prüfung an die Ursprungsdomain. Ein AiTM-Proxy kann die FIDO2-Herausforderung nicht weiterleiten, da die kryptografische Bestätigung an die Domain der legitimen Seite gebunden ist.
3. Conditional-Access-Richtlinien – Strenge Risikorichtlinien für die Anmeldung in Microsoft Entra ID durchsetzen, zum Beispiel Tokenbindung verlangen, Anmeldungen von ungewöhnlichen Standorten blockieren und die Gültigkeitsdauer von Sitzungen verkürzen.
4. Exposure-Management und Markenüberwachung – Phishing-Domains, die die eigene Organisation imitieren, proaktiv erkennen und die Infrastruktur zurückbauen lassen, bevor Nutzer darauf stoßen .
5. Sicherheitsschulungen und Meldeverfahren – Mitarbeiter darin schulen, Beschaffungs-Phishing-Köder zu erkennen und verdächtige E-Mails zu melden; das ermöglicht eine schnellere Reaktion durch das SOC.

Das FBI hat zudem speziell vor Kali365 gewarnt und rät Organisationen, ihre MFA-Methoden zu überprüfen, die Anmelde-Logs auf auffällige Gerätecode-Abläufe zu durchforsten und die Gerätecode-Authentifizierung für alle Nutzer mit Ausnahme vertrauenswürdiger Anwendungen zu blockieren .

Einschränkungen und Quellenlage

Der Infoblox-Bericht ist die primäre Quelle für den Kampagnennamen, die Nennung von EU/UN als Ziel sowie die Verwendung kompromittierter Outlook-Postfächer und kleinerer Unternehmenswebsites. Sekundäre Berichterstattung bestätigt die Ziele und die Verwendung mehrerer Kits.

Die Komponente Kali365 wird unabhängig durch das PSA des FBI sowie die Sicherheitsanbieter Huntress und Paubox bestätigt. Infoblox ordnet Kali365 jedoch gemeinsam mit EvilProxy und FlowerStorm derselben beschaffungsbezogenen Infrastruktur zu.

Die Verteidigungsempfehlungen kombinieren direkte Aussagen aus Infoblox‘ Bericht mit etablierten Best Practices der Branche, die in mehreren Quellen dokumentiert sind . In keiner Quelle ist jede Verteidigungsmaßnahme als Aufzählungspunkte aufgeführt; die obige Liste ist eine Synthese aus dem zitierten Material.

Fazit

„The Procurement Trap“ zeigt einen wachsenden Trend: Angreifer versuchen nicht mehr, MFA zu knacken – sie umgehen sie, indem sie die Sitzungscookies stehlen, die nach erfolgreicher Authentifizierung ausgestellt werden. Technische Gegenmaßnahmen wie FIDO2-Hardwareschlüssel und Blockieren auf DNS-Ebene können die Gefahr deutlich senken, aber die erste Verteidigungslinie bleibt die Wachsamkeit der Nutzer. Organisationen, die Microsoft 365 einsetzen, sollten ihre Authentifizierungslogs auf unerwartete Gerätecode- oder AiTM-Muster überprüfen und phishing-resistente Anmeldeverfahren priorisieren.