81 Millionen Anmeldeversuche: Massenangriff auf Microsoft-Konten
Sicherheitsforscher von Huntress haben eine Angriffskampagne beobachtet, bei der die Angreifer versuchen, sich mittels Password-Spraying, also durch systematisches Ausprobieren zuvor geleakter Anmeldedaten, an fremden Microsoft-Konten anzumelden. Laut Blogbeitrag(öffnet im neuen Fenster) registrierte Huntress allein zwischen dem 12. und 26. Juni mehr als 81 Millionen Anmeldeversuche. Mindestens 78 Konten sollen erfolgreich kompromittiert worden sein.
Den Angaben zufolge haben es die Angreifer auf Microsoft-365-Umgebungen abgesehen. Für ihre Angriffe bedienen sie sich des Microsoft Azure CLI (Command Line Interface). Passende Beschwerden und Diskussionen von betroffenen Admins sind unter anderem auf Reddit(öffnet im neuen Fenster) zu finden(öffnet im neuen Fenster).
Wer genau hinter dem Angriff steckt, ist noch unklar. Quelle der Anmeldeversuche ist aber laut Huntress das Autonome System AS32167 sowie ein IPv6-Adressbereich, welcher einem Provider namens LSHIY LLC zugeordnet wird. Die genutzten IP-Adressen wurden teilweise in den USA, zum Großteil aber in China verortet.
Anfällige MFA-Konfigurationen
Laut Bericht bedienen sich die Angreifer für das Password-Spraying unter anderem des ROPC-Ablaufs (Resource Owner Password Credentials) von OAuth 2.0. Wie Microsoft in der zugehörigen Dokumentation(öffnet im neuen Fenster) klarstellt, gilt dieser als veraltet und sollte nicht mehr verwendet werden, weil er keine Multi-Faktor-Authentifizierung (MFA) unterstützt.
Nach Angaben der Forscher hatten betroffene Unternehmen zudem häufig unzureichende MFA-Richtlinien. Einige hatten die MFA für Microsoft-Konten zwar aktiviert, dabei jedoch den ROPC-Ablauf nicht bedacht. Teilweise wurde die MFA auch nur für nicht vertrauenswürdige IP-Adressbereiche sowie für bestimmte Apps oder Nutzergruppen (etwa Admins) erzwungen.
Daten aus alten Datenlecks
Viele Anwendungen und Nutzer blieben aufgrund dieser Konfigurationsfehler anfällig. Angreifer brauchen dann für eine erfolgreiche Anmeldung lediglich eine gültige Kombination aus Nutzername und Passwort. Dafür testeten sie bei der von Huntress beobachteten Kampagne einfach massenhaft Zugangsdaten durch, die in früheren Datenlecks enthalten waren und seitdem nicht geändert wurden.
Die Huntress-Forscher empfehlen vor diesem Hintergrund, die MFA immer für alle Nutzer und Apps zu erzwingen und ROPC-Abläufe zu blockieren. Zudem sollte die Nutzung des Azure-CLI für Nicht-Admin-Nutzer eingeschränkt werden.
Dies ist nicht der erste Password-Spraying-Angriff, bei dem die Angreifer es auf Microsoft-365-Nutzer abgesehen haben. Anfang 2025 hatten Forscher von Security Scorecard vor einem Botnetz aus 130.000 kompromittierten Geräten gewarnt, das für ähnliche Attacken eingesetzt wurde.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.