Betrifft Sie das?
- Betroffen: Unternehmen, deren Mitarbeitende sich mit Microsoft-365- (Entra ID) oder Google-Workspace-Konten anmelden. Laut BleepingComputer kann ein per Gerätecode erlangtes Token die Ressourcen des Nutzers und angebundene Single-Sign-on-Anwendungen öffnen, etwa Microsoft 365, Salesforce, Slack oder Atlassian.
- Nicht betroffen, wenn: Ihr Unternehmen keine geschäftlichen Microsoft- oder Google-Konten hat.
Was zu tun ist
- Finden Sie heraus, wer die Gerätecode-Anmeldung nutzt: Filtern Sie im Microsoft Entra Admin Center die Anmeldeprotokolle nach dem Authentifizierungsprotokoll für den Device Code Flow.
- Sperren Sie sie dort, wo niemand sie braucht, wie Microsoft es empfiehlt (erfordert Entra ID P1 oder Microsoft 365 Business Premium): Entra ID > Conditional Access > Policies > New policy; alle Benutzer außer Ihren Notfallkonten (Break-Glass); All resources; Conditions > Authentication Flows > Device code flow; Grant > Block access. Beginnen Sie im Modus Report-only und schalten Sie die Richtlinie dann auf On.
- Sagen Sie Ihren Kolleginnen und Kollegen: Ein Code von einer Website gehört nie in eine Microsoft-Anmeldeseite, und ein Event, das für ein kostenloses KI-Abo eine Anmeldung mit dem Firmenkonto verlangt, ist ein Warnsignal.
- Gegen Session-Hijacking, auf dem der Google-Angriffsweg beruht, empfiehlt BleepingComputer phishingresistente MFA wie FIDO2-Sicherheitsschlüssel.
- Schon betroffen? Achten Sie auf Gerätecode-Anmeldungen von Personen, die diesen Weg nie nutzen, so weit Ihre Protokolle zurückreichen. Aus unserer Sicht sollten Sie dann die Sitzungen dieses Nutzers widerrufen, das Passwort zurücksetzen und die angebundenen Anwendungen prüfen.
- Ein anderer Fall, gemeldet am 2. November: Microsoft beschrieb Einbrüche, bei denen Angreifer sich in Teams als IT-Support ausgaben und Mitarbeitende dazu brachten, Quick Assist zu öffnen. Begrenzen Sie, welche externen Organisationen Ihre Leute in Teams erreichen, und bestätigen Sie unerwartete Support-Anrufe über einen bekannten internen Kanal.
Was wir wissen – und was nicht
- Auf dem Microsoft-Weg gibt das Opfer den Code auf der echten Microsoft-Seite für die Geräteanmeldung ein und bestätigt die Anfrage; Microsoft stellt dann der Kali365-Sitzung des Angreifers ein Token aus, und MFA verhindert das nicht. Eine gefälschte VoidProxy-Anmeldung kann danach zusätzlich Passwort und Cookie abgreifen.
- Auf dem Google-Weg leitet VoidProxy die echte Google-Anmeldung über einen Proxy und fängt Passwort, MFA-Antwort und Sitzungscookie ab.
- Push Security weiß nicht, wie die Links verbreitet werden. Sie laufen über URL-Kürzer von Google und Zapier und hinter einem Cloudflare-CAPTCHA, das Scanner aussperrt. Ähnliche frühere Kampagnen nutzten Event-Seiten auf Zoom (ANY.RUN) und E-Mails über GoTo Webinar (Cofense).
- Kein Bericht nennt, wie viele Konten übernommen wurden.
- Zu den Teams-Einbrüchen nennt Microsoft weder die Angreifer noch konkrete Zeitpunkte.
Warum es wichtig ist
Mitarbeitende lernen, die Adressleiste zu prüfen – und hier gehört sie wirklich Microsoft. Verräterisch ist der Code, der von woanders kam.