Eine von Huntress gemeldete Kampagne zielte auf Microsoft-365-Umgebungen: Angreifer nutzten laut der Sicherheitsfirma Phishing und gestohlene Sitzungstoken für automatisierte Anmeldeversuche. Huntress untersuchte verdächtige Anmeldungen bei 79 Kundenorganisationen, die zwischen Juli und September 2026 auftraten.
Was mit Token-Spraying gemeint ist
Bei dieser Kampagne bezeichnet Token-Spraying automatisierte Anmeldeversuche, bei denen gestohlene Sitzungstoken erneut verwendet werden. Ein Sitzungstoken, das nach einer regulären Anmeldung samt Mehr-Faktor-Authentifizierung (MFA) ausgestellt wird, kann weiteren Zugriff auf dieselbe Sitzung ermöglichen, ohne dass MFA erneut abgefragt wird.
Was Huntress über Umfang und Ablauf meldete
Huntress meldete mindestens 200.000 Anmeldeversuche, darunter 497 erfolgreiche Anmeldungen. Zu den berichteten Methoden gehörten Adversary-in-the-Middle-Phishing (AiTM), gefälschte Anmeldeseiten, Device-Code-Phishing und Social Engineering.
Wie die Angreifer den Zugang aufrechterhielten
In einigen untersuchten Fällen veränderten die Angreifer laut Huntress MFA-Einstellungen, fügten eigene Telefonnummern hinzu oder registrierten Geräte und legten verborgene Posteingangsregeln an. Außerdem verschickte ein kompromittiertes Postfach eine Phishing-Nachricht zum Thema Gehaltsabrechnung. Offenbar leistete der vorgesehene Empfänger keine Zahlung.
Welche Schutzmaßnahmen Huntress empfahl
Huntress empfahl, Conditional-Access-Richtlinien so einzurichten, dass sie für alle Benutzer, alle Cloud-Apps und alle Client-App-Typen ausnahmslos MFA verlangen oder den Zugriff blockieren.
Bei Verdacht auf Token-Replay empfahl Huntress:
- Sitzungen zu widerrufen und Passwörter zurückzusetzen.
- Geräte und MFA-Methoden in Microsoft Entra zu überprüfen.
- Posteingangsregeln auf nicht autorisierte Änderungen zu kontrollieren.
