PREY-0058: Gefälschte IT-Anrufe stehlen Microsoft-365-Daten

Eine neu identifizierte Bedrohungsgruppe namens PREY-0058 zielt auf Unternehmens-Microsoft-365-Konten ab, indem sie altmodisches Social Engineering mit modernem Token-Diebstahl kombiniert. Laut Forschungsergebnissen von The Hacker News nutzt die Gruppe Helpdesk-Vishing-Anrufe (Sprach-Phishing) in Kombination mit Adversary-in-the-Middle-Angriffen (AitM) zum Diebstahl von Sitzungstokens, um in Microsoft 365 und andere SaaS-Plattformen einzudringen und die Opfer anschließend mit den gestohlenen Daten zu erpressen. Die Kampagne erinnert daran, dass selbst gut konfigurierte Multi-Faktor-Authentifizierung (MFA) überwunden werden kann, wenn Angreifer die Menschen und Prozesse ins Visier nehmen, die sie umgeben, statt des Anmeldebildschirms selbst.

Was ist PREY-0058 und wie der Helpdesk-Betrug funktioniert

PREY-0058 ist die Bezeichnung für diese Angriffsgruppe, und ihre Methode dreht sich um die Nachahmung des IT-Supports. Statt eine Phishing-E-Mail zu senden und zu hoffen, dass jemand auf einen Link klickt, tätigen die Angreifer Berichten zufolge Telefonanrufe bei Mitarbeitern, Führungskräften oder IT-Helpdesks und geben sich als legitime technische Supportmitarbeiter aus. Das ist Vishing: sprachbasiertes Social Engineering, das darauf ausgelegt ist, schnell Vertrauen aufzubauen und das Ziel unter Druck zu setzen, zu handeln, bevor es überlegt, zu überprüfen, mit wem es tatsächlich spricht.

Das Ziel dieser Anrufe ist in der Regel, ein Ziel davon zu überzeugen, ein Passwort zurückzusetzen, eine Anmeldeaufforderung zu genehmigen oder einen Einmalcode herauszugeben. Da die Anfrage scheinbar von einer internen IT-Ressource stammt, umgeht sie den Instinkt, den viele Mitarbeiter gegenüber verdächtigen E-Mails entwickelt haben. Vishing nutzt eine Lücke, die E-Mail-Sicherheitstools nicht schließen können: Ein Telefonanruf wirkt persönlich und dringlich, anders als eine Nachricht im Posteingang.

Wie Adversary-in-the-Middle-Angriffe MFA umgehen

Was PREY-0058 besonders effektiv macht, ist die zweite Hälfte des Vorgehens: Adversary-in-the-Middle-Token-Diebstahl. Bei einem AitM-Angriff stiehlt der Bedrohungsakteur nicht nur einen Benutzernamen und ein Passwort. Stattdessen schaltet er sich zwischen das Opfer und den echten Anmeldedienst, oft über eine überzeugend gefälschte Authentifizierungsseite. Wenn sich das Opfer anmeldet und den MFA-Schritt abschließt, fängt der Proxy des Angreifers das resultierende Sitzungstoken ab – das Datenelement, das nachweist, dass ein Benutzer bereits authentifiziert ist.

Das ist wichtig, weil ein gestohlenes Sitzungstoken es einem Angreifer ermöglicht, den Anmeldeprozess vollständig zu überspringen. Er muss weder ein Passwort erraten noch jemanden ein zweites Mal dazu bringen, eine Push-Benachrichtigung zu genehmigen. Er verwendet einfach das aufgefangene Token, um auf Microsoft 365 zuzugreifen, als wäre er der legitime Benutzer – inklusive MFA. Es ist eine Technik, die bereits zuvor gegen Microsoft-365-Umgebungen eingesetzt wurde, aber die Kombination mit einem Live-Vishing-Anruf, um Erstzugriff zu erhalten oder Anmeldedaten zurückzusetzen, fügt eine Ebene menschlicher Manipulation hinzu, die rein technische Abwehrmechanismen nur schwer erkennen können.

Wer wird ins Visier genommen und welche Daten sind gefährdet

Die Berichterstattung über PREY-0058 deutet darauf hin, dass sich die Kampagne auf den Diebstahl von Daten aus Microsoft 365 und anderen SaaS-Diensten konzentriert, mit dem Endziel der Erpressung statt einer einfachen Kontoübernahme für Spam oder Betrug. Dieses Muster – Zugang verschaffen, sensible Dateien oder Kommunikation exfiltrieren und dann Zahlung fordern, um eine Veröffentlichung zu verhindern – spiegelt einen breiteren Wandel in der Cyberkriminalität hin zu Datendiebstahl und Erpressung statt klassischer Ransomware-Verschlüsselung wider. Führungskräfte und andere hochrangige Mitarbeiter scheinen im Fokus zu stehen, vermutlich weil ihre Postfächer und Cloud-Speicher die Art von sensiblen Finanz-, Rechts- oder Strategieinformationen enthalten, die sich als wirksame Hebel für einen Erpressungsversuch eignen.

Dies fügt sich in einen größeren, branchenweit dokumentierten Trend ein: Social Engineering, zunehmend verstärkt durch überzeugende Identitätstäuschungstaktiken, überholt die bestehenden Verteidigungsmaßnahmen vieler Organisationen. Eine aktuelle Umfrage zu KI-Phishing und Deepfakes ergab, dass sich eine Mehrheit der Unternehmensführer hinsichtlich ihrer Sicherheitslage sicher fühlt, obwohl sprachbasierte und KI-gestützte Identitätstäuschungsangriffe weiterhin erfolgreich sind. PREY-0058 ist ein reales Beispiel für diese Kluft zwischen Selbstvertrauen und Bereitschaft.

Was das für Sie bedeutet

Wenn Ihre Organisation auf Microsoft 365 angewiesen ist, ist diese Kampagne ein Signal, über die Passwortstärke und MFA-Aktivierungsquoten hinauszublicken. Angreifer haben sich an eine Welt angepasst, in der MFA Standard ist, und sie greifen nun die Verifizierungsprozesse darum herum an, einschließlich Helpdesks, Passwortzurücksetzungen und telefonbasierter Supportanfragen. Mitarbeiter, insbesondere Führungskräfte und IT-Personal, müssen wissen, dass ein Anruf, der vorgibt, vom internen Support zu kommen, nicht automatisch vertrauenswürdig ist, nur weil er offiziell klingt.

Praktische Schritte zum Schutz von Unternehmenskonten

Organisationen können ihre Anfälligkeit für Angriffe wie PREY-0058 mit einigen konkreten Änderungen verringern. Helpdesks sollten strenge Identitätsprüfverfahren für jede Passwortzurücksetzung oder MFA-Neuregistrierungsanfrage verwenden, idealerweise mit einem Rückruf an eine bekannte Nummer oder Verifizierung über einen separaten, vorab eingerichteten Kanal, statt dem Wort des Anrufers zu vertrauen. Sicherheitsteams sollten außerdem phishing-resistente Authentifizierungsmethoden wie Hardware-Sicherheitsschlüssel in Betracht ziehen, die für AitM-Proxys weitaus schwieriger abzufangen sind als Einmalcodes oder Push-Genehmigungen. Die Überwachung auf anomale Sitzungstoken-Nutzung, wie Anmeldungen von unerwarteten Standorten unmittelbar nach einer Helpdesk-Interaktion, kann helfen, einen Eindringling zu erkennen, bevor Daten exfiltriert werden. Schließlich gibt regelmäßiges Training, das speziell Vishing-Szenarien abdeckt und nicht nur E-Mail-Phishing, Mitarbeitern einen Leitfaden an die Hand, dem sie folgen können, wenn ein Anruf verdächtig wirkt.

Die übergreifende Lektion aus PREY-0058 ist, dass ein Microsoft-365-Vishing-Angriff erfolgreich ist, indem er Vertrauens- und Prozesslücken ausnutzt, nicht technische Schwachstellen der Plattform selbst. Da Angreifer weiterhin Social Engineering mit technischem Token-Diebstahl verbinden, sind mehrschichtige Verteidigungsmaßnahmen, die menschliches Verhalten berücksichtigen, keine Option mehr. Nehmen Sie sich diese Woche ein paar Minuten Zeit, um die Helpdesk-Verifizierungsrichtlinie Ihrer Organisation zu überprüfen und sicherzustellen, dass Ihr Team weiß, wie eine legitime IT-Anfrage tatsächlich aussieht.