IT-Security Mai/Juni 2023

30 | IT SECURITY
Bild1: Speicherung der Zugangsdaten durch den Phishing-Server
Bild 2: Ein Session-Token konnte erlangt werden
Klickt ein Benutzer auf den mitgelieferten
Link, gelangt er auf die Phishing-
Webseite. Der Nutzer wird zum Login
auf die M365-Dienste aufgefordert. Die
Verbindung ist per TLS abgesichert, so
dass der Browser keine Warnung anzeigt.
Werden die Zugangsdaten eingegeben,
finden folgende Schritte im Hintergrund
statt:
Die eingegebenen Zugangsdaten werden
auf dem Phishing-Server gespeichert
und an das eigentliche Zielsystem
weitergeleitet.
Dieses überprüft Benutzername und
Kennwort und fordert zur Eingabe des
zweiten Faktors auf. Dem Opfer wird
die gleiche Abfrage präsentiert. Wird
der zweite Faktor eingegeben, wird
auch dieser über den Phishing-Server an
das Zielsystem übermittelt, woraufhin
dort ein Session-Token für den Benutzer
erstellt wird. Das Token wird an das Opfer
weitergegeben. Mit dem Token kann
anschließend der Browser an das Zielsystem
weiter- oder die Sitzung durch
den Phishing-Server durchgeleitet werden.
In beiden Fällen ist der User im
Zielsystem eingeloggt. Durch einen für
den Benutzer „reibungslosen“ Login-
Prozess besteht die Möglichkeit, dass
das Opfer keinen Unterschied erkennen
kann.
Das generierte Session-Token wird dem
Angreifer ebenfalls übergeben. Dieser
kann das Token im eigenen Browser nutzen,
um im Namen des Opfers die Applikation
auf dem Zielsystem zu verwenden.
In diesem Fall verfügt er nun über
eine gültige Sitzung in M365.
Initial Access mit gestohlenem
Session-Token
Der Angreifer hat nun initialen Zugriff
auf kritische Ressourcen und einen Fuß
in der digitalen Tür des Unternehmens.
Damit kann er seinen vielfältigen Handlungsspielraum
erweitern. So kann er
zum Beispiel im E-Mail-Postfach oder in
MS Teams nach Nachrichten suchen,
die Hinweise auf weitere Zugänge geben.
Alle Dokumente, die dem eigentlichen
Benutzer zugänglich sind, sind
es nun auch für den Angreifer. Dieser
kann nun nicht nur Daten stehlen, sondern
sie auch modifizieren oder gar
zerstören.
Darüber hinaus kann der Angreifer
Schadsoftware auf dem SharePoint des
Unternehmens ablegen oder Office-Dokumente
mit schadhaften Makros versehen.
Früher oder später wird eine
weitere Person aus dem Unternehmen
diese Dokumente oder abgelegten Dateien
öffnen und weitere Malware nachladen.
Ebenso öffnet der Zugriff auf das E-Mail-
Postfach oder den Teams-Kanal Tür und
Tor für Social-Engineering-Methoden.
Der Angreifer kann sich als valider Mitarbeitender
des Unternehmens ausgeben
und diese Vertrauensstellung nutzen,
um Kollegen zu manipulieren und
sich weitere Berechtigungen im Unternehmensnetzwerk
verschaffen.
Ist der Angreifer erst einmal im Unternehmen
aktiv, ist eine Erkennung nicht
Mai/Juni 2023 | www.it-daily.net