Ein kürzlich bekannt gewordener Fall von Phishing-Angriffen zeigt wie Angreifer Microsoft Exchange Server missbrauchen können um ihre Opfer auszutricksen. In diesem konkreten Fall hat ein Hacker erfolgreich zahlreiche Exchange Server gekapert und von dort aus Phishing-E-Mails verschickt. Ziel des Angreifers war es; Kreditkartendaten seiner Opfer zu erbeuten.
Wie das Microsoft 365 Defender Research Team berichtet, nutzte der Angreifer Credential-Stuffing-Angriffe um über bösartige OAuth-Anwendungen Zugang zu Exchange Servern zu erlangen. Dabei hatte er es primär auf Administratorkonten abgesehen die nicht durch eine Multi-Faktor-Authentifizierung geschützt waren. Mit diesem Zugang konnte er dann eine bösartige OAuth-Anwendung erstellen und einen Inbound-Connector in den Email-Server einschleusen.
Über diesen Inbound-Connector konnte der Hacker dann Spam-E-Mails verschicken die den Empfängern vorgaukelten, von der eigenen Domäne zu stammen. Ziel der E-Mails war es die Empfänger zu überzeugen, sich bei einem vermeintlichen Gewinnspiel anzumelden und dabei ihre Kreditkartendaten preiszugeben. Damit der Angreifer unerkannt verbleiben konnte, löschte er den Inbound-Connector und alle Transportregeln nach jeder Spam-Kampagne. Die bösartige OAuth-Anwendung blieb jedoch vorhanden sein und wurde immer wieder für neue Angriffswellen eingesetzt.
Um eine größere Reichweite zu erzielen, nutzte der Angreifer eine nicht von Microsoft stammende Cloud-basierte Infrastruktur für ausgehende E-Mails. Dabei griff er insbesondere auf die Dienste von Amazon SES und Mail Chimp zurück die normalerweise für Marketing-Zwecke genutzt werden. Laut dem Microsoft-Forschungsteam verfügte der Angreifer über langjährige Erfahrung im Versand von Spam-E-Mails und nutzte verschiedene Methoden um seine Ziele zu erzielen.
Microsoft hat mittlerweile alle betroffenen Anwendungen vom Netz genommen und betroffene Kunden informiert. Es bleibt jedoch abzuwarten, ob weitere ähnliche Vorfälle auftreten werden und welche Schutzmaßnahmen Unternehmen ergreifen sollten um sich vor solchen Angriffen zu schützen.
Kommentare