August-Welle kaperte Microsoft-365-Sitzungen durch RMM-Missbrauch

Eine Angriffswelle, die auf alltäglichem Vertrauen aufbaut

Im gesamten August verfolgten Sicherheitsforscher eine Reihe von Cyberangriffen in den Vereinigten Staaten und Europa, die nicht auf exotische Malware oder Zero-Day-Exploits angewiesen waren. Stattdessen machten die Angreifer die Werkzeuge, die Unternehmen täglich nutzen – Microsoft-365-Anmeldungen, Fernwartungs- und Überwachungssoftware (Remote Monitoring and Management, RMM) sowie alltägliche Geschäftsdokumente – zu Wegen für Kompromittierungen.

Das macht diese Kampagne bemerkenswert. Statt Firewalls zu durchbrechen oder ungepatchte Software auszunutzen, verließen sich die Angreifer darauf, dass Mitarbeiter den Plattformen vertrauen, bei denen sie sich jeden Morgen anmelden, und den Anbietern, die ihre IT-Systeme remote verwalten. Dieses Vertrauen wird, einmal missbraucht, zu einer der effektivsten Angriffsflächen, die es gibt.

So funktioniert die Übernahme von Microsoft-365-Sitzungen

Im Zentrum dieser Kampagne steht eine Technik, die als Session-Hijacking (Sitzungsübernahme) bekannt ist. Statt Benutzername und Passwort direkt zu stehlen, fangen Angreifer das Authentifizierungstoken ab oder stehlen es – auch „Session-Cookie“ genannt –, das Microsoft 365 nach einer erfolgreichen Anmeldung und abgeschlossener Multi-Faktor-Authentifizierung generiert. Da dieses Token beweist, dass die Sitzung bereits verifiziert ist, kann ein Angreifer, der es erlangt, effektiv zu dem angemeldeten Benutzer werden, ohne jemals wieder das ursprüngliche Passwort zu benötigen.

Das ist bedeutsam, weil die Multi-Faktor-Authentifizierung, lange Zeit als starker Schutz gegen Identitätsdiebstahl angesehen, einen Angreifer nicht aufhält, der bereits eine gültige Sitzung erbeutet hat. Das Anmeldeereignis ist aus Sicht des Opfers bereits legitim erfolgt. Ist der Angreifer erst einmal drinnen, kann er auf E-Mails, freigegebene Dateien, Kalender und interne Kommunikation zugreifen, die mit diesem Microsoft-365-Konto verbunden sind – oft ohne die Art von Warnmeldungen auszulösen, die ein fehlgeschlagener Anmeldeversuch oder eine Benachrichtigung über ein neues Gerät hervorrufen würde.

Fernwartungstools und Geschäftsdokumente als Einstiegspunkte

Dieselbe August-Kampagne stützte sich auch auf Fernwartungs- und Überwachungssoftware (RMM) – die Art von Werkzeug, die IT-Abteilungen und Managed Service Provider verwenden, um Updates zu installieren, Probleme zu beheben und Systeme remote zu warten. Wenn Angreifer Zugriff auf diese Tools erhalten – entweder durch gestohlene Anmeldedaten oder durch Ausnutzung schwacher Konfigurationen – erben sie denselben Grad an vertrautem Zugriff, den ein legitimer IT-Administrator hätte. Das kann die Fähigkeit bedeuten, Dateien zu verteilen, Befehle auszuführen oder sich mit minimaler Reibung über ein ganzes Netzwerk verbundener Geräte zu bewegen.

Alltägliche Geschäftsdokumente spielten ebenfalls eine Rolle. Dateien, die wie Rechnungen, Verträge oder interne Notizen aussehen, sind immer noch einer der zuverlässigsten Wege, einen Mitarbeiter dazu zu bringen, auf einen Link zu klicken oder einen Anhang zu öffnen – gerade weil sie nicht verdächtig wirken. In Kombination mit Session-Hijacking und RMM-Missbrauch kann ein einziges überzeugendes Dokument der erste Dominostein in einem viel größeren Eindringen sein.

Dieses Muster spiegelt einen breiteren Trend in der Strafverfolgung von Cyberkriminalität wider, bei dem Behörden zunehmend die Infrastruktur und Einzelpersonen hinter Angriffen im großen Maßstab ins Visier nehmen, statt nur einzelne Vorfälle. Sanktionsmaßnahmen wie die gegen den Administrator der Trickbot-Ransomware-Operation zeigen, wie Regierungen versuchen, das Ökosystem zu stören, das diese Kampagnen profitabel macht – auch wenn ständig neue Variationen alter Techniken auftauchen.

Was das für Sie bedeutet

Für die meisten Einzelpersonen ist diese Kampagne eine Erinnerung daran, dass starke Passwörter und selbst Multi-Faktor-Authentifizierung kein vollständiges Sicherheitsnetz sind, wenn ein Sitzungstoken durch Phishing oder Malware gestohlen werden kann. Besonders für Mitarbeiter kleiner und mittlerer Unternehmen, in denen IT-Ressourcen knapp sein können und RMM-Tools häufig von externen Anbietern verwendet werden, ist das Risiko dieser Art von Missbrauch real.

Wenn Sie Microsoft 365 für die Arbeit nutzen, achten Sie auf unerwartete Aufforderungen zur erneuten Authentifizierung, unbekannte Anmeldestandorte in Sicherheitsbenachrichtigungen oder Anfragen zur Genehmigung eines Geräts, das Sie nicht erkennen. Wenn Ihre Organisation auf einen externen IT-Dienstleister angewiesen ist, der Fernwartungssoftware verwendet, lohnt es sich zu fragen, wie dieser Zugriff gesichert und überwacht wird. Und wie immer gilt: Behandeln Sie unerwartete Dokumente – besonders solche, die zu schnellem Handeln drängen – mit gesunder Skepsis, bevor Sie sie öffnen.

Umsetzbare Maßnahmen

• Überprüfen Sie regelmäßig die Anmeldeaktivitätsprotokolle von Microsoft 365 und melden Sie unbekannte Sitzungen oder Standorte sofort.
• Fragen Sie Ihren IT-Anbieter oder Ihr internes Team, wie der Zugriff auf RMM-Software authentifiziert wird und ob eine Sitzungsüberwachung eingerichtet ist.
• Vermeiden Sie es, unerwartete Geschäftsdokumente, Rechnungen oder Anhänge zu öffnen, ohne den Absender über einen separaten Kanal zu verifizieren.
• Erwägen Sie, bedingte Zugriffsrichtlinien und kürzere Sitzungs-Timeout-Fenster für Cloud-Konten zu aktivieren, wo möglich.
• Bleiben Sie darüber informiert, wie Angreifer sich anpassen, um die Multi-Faktor-Authentifizierung zu umgehen, denn die Übernahme von Microsoft-365-Sitzungen zeigt, dass MFA allein keine garantierte Verteidigung ist.

Die August-Angriffswelle benötigte keine ausgeklügelte neue Malware, um erfolgreich zu sein. Sie hatte Erfolg, weil sie das alltägliche Vertrauen ausnutzte, das Unternehmen in vertraute Anmeldungen, vertraute Anbieter und vertraute Dateitypen setzen. Sich dieser Realität bewusst zu bleiben, ist eine der einfachsten und effektivsten Verteidigungen, die es gibt.