UNC6671 automatisiert Microsoft-365-Diebstahl durch Vishing-Anrufe

Eine neue Variante eines alten Tricks: Vishing trifft auf Automatisierung

Eine als UNC6671 bezeichnete Bedrohungsgruppe hat einen Weg gefunden, eine altbekannte Social-Engineering-Taktik mit moderner Automatisierung zu kombinieren – mit teuren Folgen für die betroffenen Organisationen. Laut Berichten über die Aktivitäten der Gruppe gibt sich UNC6671 am Telefon als interner IT-Helpdesk-Mitarbeiter aus, um Beschäftigte dazu zu bringen, Zugang zu ihren Microsoft-365- und Okta-Konten preiszugeben. Sobald die Angreifer eingedrungen sind, stehlen sie aktive Sitzungstoken und umgehen damit Passwörter und Multi-Faktor-Authentifizierung vollständig. Anschließend automatisieren sie den Diebstahl von Unternehmensdaten für Erpressungszwecke.

Das Besondere an dieser Kampagne ist nicht der anfängliche Kontaktweg. Voice-Phishing, kurz „Vishing“, ist seit Jahren als Taktik bekannt. Es ist die darauf aufbauende Automatisierung, die einen einzigen erfolgreichen Anruf in eine skalierbare Datendiebstahlsoperation verwandelt – eine, die unbemerkt Dateien und Kommunikation in einer gesamten Microsoft-365-Umgebung erntet.

Wie der Angriff tatsächlich abläuft

Der Angriff beginnt in der Regel mit einem Telefonanruf. Ein Mitarbeiter erhält einen scheinbar routinemäßigen Anruf vom IT-Support seines Unternehmens, oft unter Bezugnahme auf ein plausibles technisches Problem wie einen Anmeldefehler oder eine Kontosperrung. Der Anrufer führt das Ziel durch Schritte, die letztlich einen aktiven Sitzungstoken oder Anmeldedaten für Microsoft 365 oder Okta preisgeben – jene Identitätsplattform, die viele Unternehmen für Single-Sign-on-Zugriff auf ihre Cloud-Tools nutzen.

Sitzungstoken sind für Angreifer besonders wertvoll, weil sie eine bereits authentifizierte Sitzung repräsentieren. Anstatt ein Passwort knacken oder die Multi-Faktor-Authentifizierung überwinden zu müssen, verwendet der Angreifer einfach das Token, um sich als legitimer Benutzer auszugeben – oft ohne die Alarme auszulösen, die eine neue, verdächtige Anmeldung verursachen würde.

Sobald dieser Zugang etabliert ist, hat UNC6671 Berichten zufolge den Vorgang automatisiert, Daten aus der kompromittierten Microsoft-365-Umgebung abzuziehen. Statt dass ein menschlicher Angreifer manuell Postfächer und geteilte Laufwerke durchforstet, übernehmen scriptbasierte Tools die Hauptarbeit und sammeln E-Mails, Dateien und anderes sensibles Material in großem Umfang. Die gestohlenen Daten dienen dann als Druckmittel in einem Erpressungsschema: Die Gruppe droht, die Informationen zu veröffentlichen oder zu verkaufen, falls keine Zahlung erfolgt.

Dieses Muster erinnert an das, was Forschende bei Angriffen auf Hedgefonds, die mit derselben Erpressergruppe in Verbindung stehen, dokumentiert haben, bei denen Finanzunternehmen mit ähnlichen Social-Engineering- und Datenerpressungstaktiken ins Visier genommen wurden. Finanzdienstleister sind attraktive Ziele, weil sie große Mengen sensibler Kundendaten besitzen und häufig dem Druck ausgesetzt sind, Vorfälle schnell und diskret zu lösen.

Warum das über die Schlagzeilen zu Sicherheitsverletzungen hinaus wichtig ist

Es ist verlockend, dies als weitere Geschichte über eine Unternehmensdatenpanne zu betrachten, doch die Auswirkungen auf die Privatsphäre reichen weiter. Wenn eine Bedrohungsgruppe die Microsoft-365-Sitzung eines Mitarbeiters kapert, erhält sie nicht nur Zugang zu internen Unternehmensdateien. Sie kann potenziell Kundenunterlagen, personenbezogene Daten von Kunden oder Partnern sowie interne Kommunikation einsehen, die nie für die Öffentlichkeit bestimmt war.

Da der Erstzugriff auf Social Engineering und nicht auf einen technischen Exploit beruht, stoppen herkömmliche Sicherheitswerkzeuge wie Patching oder Endpoint-Erkennung den Angriff nicht an der Quelle. Die ausgenutzte Schwachstelle ist menschliches Vertrauen – genauer gesagt die berechtigte Annahme eines Mitarbeiters, dass ein Anruf, der angeblich vom IT-Support stammt, tatsächlich vom IT-Support kommt. Das macht diese Angriffsform schwer allein durch Technologie zu beseitigen und verlagert mehr Gewicht auf Schulungen und Verifizierungsprozesse in der Organisation.

Auch der Automatisierungsaspekt spielt eine Rolle. Sobald ein Sitzungstoken gestohlen ist, lässt die Geschwindigkeit und das Ausmaß, mit dem Daten abgezogen werden können, den Sicherheitsteams nur ein schwindendes Zeitfenster, um den Vorfall zu erkennen und zu reagieren, bevor erhebliche Mengen sensibler Informationen bereits entwendet sind.

Was das für Sie bedeutet

Wenn Sie in einer Organisation arbeiten, die Microsoft 365 oder Okta einsetzt – und das tun die meisten großen Arbeitgeber –, ist diese Kampagne eine Erinnerung daran, dass Ihre eigene Wachsamkeit bei einem scheinbar routinemäßigen IT-Anruf wichtiger ist, als es den Anschein haben mag. Seriöse IT-Abteilungen bitten Beschäftigte selten, während eines unaufgeforderten Anrufs Einmalcodes vorzulesen, unerwartete Anmeldeaufforderungen zu bestätigen oder zu unbekannten Seiten zur Kennwortzurücksetzung zu navigieren.

Für Einzelpersonen geht es weniger um neue Software, sondern vielmehr um Gewohnheiten. Seien Sie skeptisch bei unaufgeforderten Anrufen, die Zugang zu Ihrem Konto verlangen, selbst wenn der Anrufer sich mit den internen Systemen Ihres Unternehmens gut auszukennen scheint. Überprüfen Sie Anfragen über einen separaten, bekannten Kanal, indem Sie zum Beispiel Ihre IT-Abteilung unter einer Nummer aus dem internen Telefonverzeichnis zurückrufen – nicht unter einer vom Anrufer genannten Nummer.

Handlungsempfehlungen

Einige praktische Schritte können Ihr Risiko bei dieser Art von Angriff verringern:

• Behandeln Sie unaufgeforderte IT-Support-Anrufe mit Vorsicht, insbesondere solche, die Anmeldecodes, Sitzungsbestätigungen oder Kennwortzurücksetzungen fordern.
• Überprüfen Sie jede IT-Anfrage über eine unabhängig recherchierte Telefonnummer oder ein internes Chatsystem, nicht über eine Rückrufnummer, die Sie während des verdächtigen Anrufs erhalten.
• Melden Sie ungewöhnliche Helpdesk-Anrufe sofort Ihrem Sicherheitsteam, auch wenn Sie keine Informationen preisgegeben haben – dies könnte darauf hindeuten, dass Ihr Unternehmen ins Visier genommen wurde.
• Wenn Sie vermuten, dass Ihre Sitzung kompromittiert wurde, bitten Sie die IT, aktive Token zu widerrufen und eine erneute Anmeldung mit Multi-Faktor-Authentifizierung zu erzwingen.

UNC6671s Kampagne zeigt: Während Unternehmen ihre technischen Abwehrmaßnahmen verstärken, zielen Angreifer zunehmend auf die menschliche Ebene ab. Wachsam gegenüber Social-Engineering-Versuchen zu bleiben, gehört zu den wirksamsten und kostengünstigsten Verteidigungsmöglichkeiten für jeden einzelnen Beschäftigten.