Russische Hacker nutzen OAuth 2.0 aus, um Microsoft 365-Konten zu hacken

Russische Hacker haben legitime OAuth 2.0-Authentifizierungsabläufe ausgenutzt, um Microsoft 365-Konten zu übernehmen. Während sich der Cybersecurity-Bereich mit der Zeit weiterentwickelt, versuchen Cyberangreifer verschiedene Maßnahmen, um ihre Opfer ins Visier zu nehmen.

Kürzlich entdeckte und berichtete ein Cybersecurity-Unternehmen, Volexity, über eine Reihe von laufenden Cyberangriffen seit März 2025.

Russische Hacker zielen auf Ukraine-Verbündete ab, indem sie deren Microsoft 365-Konten hacken

Zwei russische Bedrohungsakteure, die als UTA0352 und UTA0355 verfolgt werden, zielen hauptsächlich auf Microsoft 365-Konten von Personen ab, die mit der Ukraine und Menschenrechten verbunden sind, und verwenden hochgradig zielgerichtete Social-Engineering-Taktiken.

Jetzt fragen Sie sich bestimmt, wie es den russischen Hackern gelungen ist, das Opfer in ihre Falle zu locken, oder? Nun, die Cyberangreifer geben sich zunächst als europäische Beamte aus oder nutzen gehackte ukrainische Regierungsaccounts, um Opfer über Messaging-Apps wie WhatsApp und Signal zu kontaktieren. Bild: Volexity

Hacker locken Opfer dazu, ohne Verdacht auf bösartige Links zu klicken

Russische Hacker verleiten Ziele dazu, auf bösartige Links zu klicken, die auf Microsofts Infrastruktur gehostet werden, oder OAuth-Autorisierungscodes zu teilen. Diese Codes, die 60 Tage gültig sind, gewähren den Opfern Zugriff auf ihre E-Mails und andere Microsoft 365-Ressourcen. Bild: Volexity Sicherheitsforscher von Volexity stellen fest: “ Es sollte angemerkt werden, dass dieser Code auch als Teil der URI in der Adressleiste erschien. Visual Studio Code scheint so eingerichtet zu sein, dass es einfacher ist, diesen Code zu extrahieren und zu teilen, während die meisten anderen Instanzen einfach zu leeren Seiten führen würden. ”

In einigen Fällen registrieren russische Hacker neue Geräte für die Microsoft Entra-ID des Opfers und umgehen die Zwei-Faktor-Authentifizierung (2FA). Sie täuschen Benutzer, indem sie gefälschte 2FA-Anfragen unter dem Vorwand genehmigen, auf eine SharePoint-Instanz zuzugreifen. Bild: Volexity

Opfer werden wahrscheinlich keinen Verdacht schöpfen

Da russische Hacker Microsofts eigene Infrastruktur nutzen, ist es für die Opfer ziemlich schwer, einen Verdacht auf unlauteres Spiel zu schöpfen. Ganz zu schweigen davon, dass diese Angriffe ganz anders sind als traditionelles Phishing. Angreifer verwenden Proxy-Netzwerke, um den Standort des Opfers zu imitieren, und stellen sicher, dass die Opfer nichts Verdächtiges bemerken.

Die gestohlenen OAuth-Codes ermöglichen einen verlängerten Zugriff, der es Hackern ermöglicht, E-Mails zu lesen, auf Dateien zuzugreifen und unbefugten Zugang aufrechtzuerhalten. Es ist erwähnenswert, dass all dies möglich ist, selbst wenn die Opfer ihre Passwörter ändern.

Volexity stellt in seinem Bericht fest: “ In Protokollen, die von Volexity überprüft wurden, war die erste Geräteregistrierung kurz nach der Interaktion mit dem Angreifer erfolgreich. Der Zugriff auf E-Mail-Daten erfolgte am folgenden Tag, als UTA0355 eine Situation geschaffen hatte, in der ihre 2FA-Anfrage genehmigt wurde. ”

All das gesagt, ist dies nicht der erste Fall von Angreifern, die OAuth-Authentifizierungsabläufe missbrauchen. Einige aktuelle Berichte haben hervorgehoben, dass Betrüger sogar Google OAuth missbrauchen, um mehrere Phishing-E-Mails an Benutzer zu senden.