Angreifer entwickeln Phishing-Angriffe weiter: Mit NovaCookies Microsoft 365 wurde nun eine neue „Adversary-in-the-Middle“-(AitM)-Phishing-Toolbox beschrieben, die Login-Vorgänge als echte Sitzung verarbeitet. Dabei fungiert das System als Proxy, lenkt Microsoft-365-Anmeldungen um und sammelt im Anschluss die daraus entstehenden authentifizierten Sessions. Für Unternehmen bedeutet das: Selbst vermeintlich erfolgreiche Logins können zur eigenen Kompromittierung werden.
Die beobachteten Kampagnen sollen dabei nicht nur „irgendwelche“ Formulare ausspielen. Vielmehr setzen die Angreifer auf Bausteine, die im Browser wie normale Bestandteile einer legitimen Sign-in-Kette wirken können. So entstehen Angriffe, die für Nutzer plausibel aussehen, während sie gleichzeitig an mehreren Stellen Daten für den späteren Zugriff sichern.
Was ist NovaCookies Microsoft 365?
NovaCookies wird als AitM-Phishing-Toolkit eingeordnet. Der Kernmechanismus: Das System leitet den Authentifizierungsprozess so weiter, dass Microsoft- bzw. Identitätsanfragen durch Infrastruktur der Angreifer laufen. Sobald Opfer ihre Passwörter und Multi-Factor-Authentication (MFA)-Codes eingeben, werden die resultierenden Sitzungseigenschaften ausgenutzt.
In der Berichterstattung wird das Ganze als abonnementbasierte Dienstleistung beschrieben, die in der Praxis wie ein Phishing-as-a-Service-Angebot funktioniert. Laut den Angaben richtet sich das Tool damit nicht nur an technisch versierte Gruppen, sondern ermöglicht auch skaliertes Vorgehen gegen viele Ziele.
Bislang sollen bereits hunderte Organisationen in verschiedenen Ländern angegriffen worden sein, darunter u. a. die USA, das Vereinigte Königreich, Kanada, Deutschland, Israel und die Vereinigten Arabischen Emirate.
Docusign-Hüllen als Köder: Wenn Benachrichtigungen „echt“ wirken
Ein auffälliges Merkmal der beschriebenen Angriffe: Die Lures sind an Docusign-Kontexte angelehnt. In beobachteten Kampagnen werden „echte“ Docusign-Envelope-Elemente verwendet, um Nutzer zu einem Dokument- oder Dokumentfreigabe-Thema zu führen.
Die Details zeigen außerdem, dass nicht jeder Klick direkt zur Angreifer-Seite führt. Stattdessen können „Redirect-Hops“ über legitime Microsoft- oder Google-Sign-in-Endpunkte erfolgen. Das Ergebnis: Nachricht, Dokumentbezug und Umleitungen können als vertrauenswürdig erscheinen, bis der Browser schließlich bei der von Angreifern kontrollierten Infrastruktur ankommt.
Der eigentliche Missbrauch entsteht dabei nicht durch die Mail selbst, sondern durch den Inhalt, der als Dokumentfreigabe dargestellt wird. Die bösartige Zielseite befindet sich im Dokumentkontext und damit unterhalb der Ebene, die viele Mail-Sicherheitslösungen typischerweise zuerst prüfen.
Wie das AitM-Relay die Authentifizierung „mitnimmt“
Wie bei anderen AitM-Phishingkits wird der Login nicht einfach abgefangen. NovaCookies Microsoft 365 soll die Microsoft-Authentifizierung vielmehr in Echtzeit durch eine Infrastruktur unter Kontrolle der Angreifer weiterreichen. Dadurch kann das System die Sitzungskomponenten des Opfers unmittelbar nach erfolgreicher Eingabe der Credentials nutzen.
Im Bericht wird das als Live-Relay beschrieben: Das Toolkit erfasst Login- und Session-Informationen, leitet sie parallel an Microsoft weiter und sammelt anschließend die relevanten Ergebnisse ein. Für Verteidiger ist das besonders anspruchsvoll, weil das Verhalten in Teilen wie ein normaler Authentifizierungsablauf aussehen kann.
Telegram als Vertriebs- und Betriebsfläche
Auch der organisatorische Ablauf liefert Hinweise auf die Professionalität des Angebots. NovaCookies soll über Telegram beworben werden. Gleichzeitig wird Telegram in der Beschreibung als Infrastruktur genutzt, um Kundenprofile zu verwalten, Redirect-Services zu konfigurieren und Support bereitzustellen.
Damit ähnelt das Modell anderen „Phishing-as-a-Service“-Anbietern: Nicht nur das technische Toolkit wird bereitgestellt, sondern auch die operative Abwicklung, damit „Affiliates“ Kampagnen starten können.
Varianten und Identitätsanbieter: mehr als nur Microsoft
Die Einstufung erfolgt als Variante eines bekannten 2FA-Phishingkits. Während der ursprüngliche Ansatz stärker auf Microsoft-Accounts ausgerichtet gewesen sein soll, werden bei NovaCookies zusätzliche Identitäts-Flows genannt.
In den Informationen wird unter anderem erwähnt, dass es eigene Abläufe für andere Anbieter gibt, einschließlich Okta, sowie für Entra-Domains, die mit GoDaddy föderiert sind. Dadurch kann das Tool in heterogenen Identitätslandschaften eingesetzt werden, nicht nur in Microsoft-365-lastigen Setups.
Warum die URL und die Weiterleitung auffallen könnten (aber nicht müssen)
Für Außenstehende ist es oft ein Indikator: Domainnamen, die sich „fast wie“ bekannte Dienste lesen. In den beobachteten Fällen wurden insbesondere Köderdomains genutzt, die auf dem .vu-Toplevel liegen. Beispielhaft werden Labels in wechselnder Groß-/Kleinschreibung genannt, die sich wie legitime Microsoft-Service-Bausteine tarnen sollen.
Zusätzlich wird beschrieben, dass ein Bestandteil der Attack Chain eine OAuth-Fehler-Redirect-Technik ausnutzt, die Microsoft bereits im Frühjahr beschrieben hatte. So werden Opfer in eine Abfolge geführt, die funktional auf das Ziel der Angreifer einzahlt: die Umleitung zum von ihnen kontrollierten Endpunkt.
Anti-Analyse: Vom Cloudflare-Gate bis zu Debug-Erkennung
NovaCookies Microsoft 365 wird außerdem mit Funktionen zur Umgehung von Sicherheitstools in Verbindung gebracht. Im Bericht wird ein Cloudflare-Gate genannt sowie eine Mechanik, die erkennt, ob ein Ausführungspfad zu Debugging oder ähnlichen Analyse-Umgebungen passt.
Die Intention ist klar: Bevor das System das täuschend echte Login-Interface ausliefert, soll es prüfen, ob es von Scannern „gesehen“ wird. Erst wenn die Umgebung als „normal“ erscheint, wird die bösartige Nutzlast aktiv.
In diesem Modell ist das Gesamtszenario mehrstufig: Jeder „Hop“ kann für sich genommen plausibel wirken. Erst im Zusammenspiel im Browser wird daraus ein zusammenhängendes Ereignis, das die Angreifer-Ziele erfüllt.
Teil eines größeren Trends: Phishing-as-a-Service wird breiter
Die Veröffentlichung ordnet NovaCookies in eine breitere Entwicklung ein: Phishing-as-a-Service (PhaaS)-Plattformen gelten weiterhin als lukrative Abo-Modelle im Cybercrime-Umfeld. Der Vorteil für Angreifer liegt in der Skalierung: Wer wenig Know-how hat, kann trotzdem Kampagnen starten, weil Frontend, Infrastruktur und oft sogar Betriebsmechaniken fertig verfügbar sind.
Im Kontext werden zudem weitere, ähnliche Dienste genannt, die unterschiedliche Angriffsformen unterstützen, etwa vishing-as-a-service, Toolkits für device code phishing, Kits mit eingebauter Umgehung von Bot-Checks oder Plattformen, die auch nach dem Token-Capture automatisieren.
Warum das für Unternehmen relevant ist
Selbst wenn sich einzelne Details unterscheiden, bleibt das Muster: Viele Dienste liefern eine „End-to-End“-Kette—vom Köder bis zur Ausnutzung. Für Security-Teams bedeutet das, dass reine Einzelmaßnahmen (z. B. nur Link-Checks oder nur Mailfilter) nicht ausreichen. Besonders AitM-Relays und authentifizierungsnahe Abgriffe verlangen Schutzkonzepte, die den gesamten Authentifizierungs- und Sitzungslebenszyklus mitdenken.
Notion-Ketten und bösartige PDFs: Erweiterte Social-Engineering-Strategien
Neben NovaCookies werden auch Hinweise zu einem Bedrohungsakteur genannt, der Notion-Konten missbraucht. Dabei geht es darum, Ziele über Einladungen zu einem Dokument zu locken, in dem ein bösartiger Link steckt.
Eine zusätzliche Hürde sind die verwendeten Dokumentkonstruktionen: Die bösartige PDF soll Links überlappen, um defensive Tools gezielter zu umgehen und die „Wiedervorlagefähigkeit“ einzelner schädlicher Dateien zu erhöhen. Weiter wird beschrieben, dass Techniken zur Verdeckung (etwa Obfuscation/Encryption ähnlicher Art) eingesetzt werden, um die Landing-Phase schwerer analysierbar zu machen.
Fazit: NovaCookies Microsoft 365 erhöht den Druck auf „Session-Schutz“
NovaCookies Microsoft 365 steht exemplarisch für eine Angriffsform, bei der Phishing nicht nur Credentials einsammelt, sondern im Ergebnis auch die daraus entstehende Sitzung verwerten kann. Durch AitM-Weiterleitung, plausible Redirect-Hops und Köder im Stil echter Docusign-Benachrichtigungen wird der Angriff für Nutzer schwerer erkennbar.
Für Unternehmen ist die Schlussfolgerung eindeutig: Schutzmaßnahmen müssen über den klassischen Mail-Filter hinausgehen und auch Authentifizierungsflüsse, Sitzungskontinuität und Reaktionen auf verdächtige Login-Muster berücksichtigen. Nur so lässt sich das Risiko minimieren, dass ein scheinbar normaler Sign-in-Vorgang am Ende zu einem echten Session-Abgriff führt.
Quelle: https://thehackernews.com/2026/08/novacookies-campaigns-abuse-genuine.html
