Barracuda analysiert eine neue Angriffswelle auf Basis von Device-Code-Authentifizierung. Die Methode nutzt legitime Login-Prozesse und ermöglicht Angreifern langfristigen Zugriff auf Cloud-Dienste wie Microsoft 365. Innerhalb von vier Wochen wurden sieben Millionen entsprechende Phishing-Angriffe registriert.
Foto: Barracuda Networks
Klaus Gheri, VP & GM Network Security bei Barracuda
Eine aktuelle Untersuchung von Barracuda zeigt eine deutliche Zunahme von Phishing-Angriffen, die auf der Ausnutzung von Device-Code-Authentifizierung basieren. Innerhalb von vier Wochen wurden sieben Millionen entsprechende Angriffe identifiziert. Die Methode zielt darauf ab, Nutzer zur Eingabe legitimer Authentifizierungscodes zu bewegen, wodurch Angreifer autorisierten Zugriff auf Systeme erhalten können – ohne klassische Sicherheitsmechanismen auszulösen.
Device-Code-Authentifizierung wird üblicherweise eingesetzt, um die Anmeldung auf Geräten mit eingeschränkten Eingabemöglichkeiten zu ermöglichen, etwa bei Fernsehern, Druckern oder CLI-basierten Tools. Dabei geben Nutzer einen kurzen Code auf einem separaten, vertrauenswürdigen Gerät ein.
Beim Device-Code-Phishing nutzen Angreifer genau diesen Prozess aus. Sie generieren zunächst einen legitimen Geräte-Code und versenden anschließend Phishing-Mails mit der Aufforderung, diesen Code auf einer echten Anmeldeseite – etwa „microsoft.com/devicelogin“ – einzugeben.
Sobald das Opfer den Authentifizierungsprozess abschließt, wird ein OAuth-Zugriffs- und Authentifizierungs-Token erstellt und direkt an den Angreifer übermittelt. Dadurch erhält dieser Zugriff auf das entsprechende Konto, ohne Passwörter stehlen zu müssen.
Abbildung: Barracuda Networks
Device-Code-Phishing unterscheidet sich deutlich von herkömmlichen Phishing-Ansätzen. Statt gefälschter Webseiten kommen legitime URLs zum Einsatz, wodurch die Erkennung durch E-Mail-Filter erschwert wird.
Ein weiterer zentraler Aspekt ist die Umgehung von Multi-Faktor-Authentifizierung und Richtlinien für bedingten Zugriff. Da die Autorisierung durch den Nutzer selbst erfolgt, gelten die ausgestellten Tokens als legitim.
Zudem ermöglicht die Methode langfristigen Zugriff: Angreifer erhalten sogenannte Refresh-Tokens, die einen Zugang über Tage oder Wochen erlauben – selbst wenn das Passwort zwischenzeitlich geändert wird.
Die Angriffsmethode nutzt zudem bekannte Nutzergewohnheiten aus, etwa die Eingabe von sechs- bis achtstelligen Codes zur Geräteauthentifizierung. Gleichzeitig können Angreifer unauffällige laterale Bewegungen innerhalb von Systemen durchführen, ohne unmittelbare Sicherheitsalarme auszulösen.
Laut Barracuda nimmt die Verbreitung dieser Angriffsmethode weiter zu, auch durch Phishing-as-a-Service-Tools wie das genannte EvilTokens-Kit. Diese Entwicklung trägt zur Professionalisierung und Skalierbarkeit von Angriffen bei.
Erfolgreiche Angriffe ermöglichen es, langfristigen Zugriff auf Cloud-E-Mail- und Identitätsumgebungen zu erlangen, ohne klassische Sicherheitsmechanismen zu umgehen oder Passwörter direkt zu kompromittieren.
Dazu sagt Klaus Gheri, VP & GM Network Security bei Barracuda:
„Device-Code-Phishing hat sich als Teil des PhaaS-Modells professionalisiert und ist so zu einer gefährlichen und skalierbaren Bedrohung geworden. Sicherheitsmaßnahmen müssen schnell daran angepasst werden: Mehrschichtige Sicherheitskontrollen, darunter erweiterte E-Mail-Filter, Mechanismen zum Identitätsschutz und kontinuierliche Überwachung können dazu beitragen, die Angriffsfläche von Endgeräten zu reduzieren. Strengere Kontrollen bei der Geräteautorisierung sowie Nutzer dafür zu sensibilisieren, Verifizierungs-Codes nur in vertrauenswürdigen Kontexten einzugeben, können zusätzlich dazu beitragen, solche Angriffe zu verhindern.“
