Kali365 zeigt, wie schnell aus einem vermeintlich „normalen“ Microsoft-Anmeldevorgang ein echter Unternehmensrisiko werden kann. Der Angreifer nutzt dabei keinen exotischen Zugang, sondern missbraucht die Authentifizierung selbst: Opfer geben auf einer echten Microsoft-Seite einen vom Angreifer kontrollierten Code ein. Anschließend können die Täter Token erhalten, die ihnen späteren Zugriff auf E-Mail, Dokumente und Cloud-Ressourcen ermöglichen.
Für US-Organisationen ist die Lage besonders kritisch, weil die Aktivität offenbar stark auf diese Region ausgerichtet ist. Gleichzeitig wird klar: Klassische Maßnahmen wie reine E-Mail-Filter reichen nicht aus, um diesen Angriff zuverlässig zu stoppen.
Wie Kali365 Microsoft-Tokenmissbrauch auslöst
Der Kern des Angriffs ist eine Device-Code-Phishing-Variante. Dabei baut der Angreifer eine Falle, die das Opfer dazu bringt, den Authentifizierungsprozess zu durchlaufen, obwohl die Aufforderung nicht vom legitimen Dienst kommt. Der entscheidende Punkt: Die Opfer authentifizieren anschließend auf einem echten Microsoft-Portal.
Aus Sicht des Unternehmens kann die Aktivität dadurch zunächst „routineartig“ wirken. Erst später wird deutlich, dass die Token-Abfolge missbraucht wurde. Genau an dieser Stelle entsteht das Risiko für Datenabfluss, Betrug und Betriebsstörungen.
Die drei Phasen der Angriffskette
Der Angriff lässt sich laut Analyse in drei Schritte gliedern. Diese Struktur hilft Sicherheitsteams, die relevanten Anzeichen früh zu erkennen und die Auswirkung auf nachgelagerte Systeme einzuordnen.
1) Köderseite (Lure)
Zu Beginn erhält das Opfer eine Seite, die einen vertrauenswürdigen Geschäftsdienst imitiert. Als Vorlagen werden unter anderem Inhalte im Stil von SharePoint oder OneDrive genannt, außerdem wird auch ein DocuSign-nahemas Muster erwähnt. Ziel ist, den Nutzer in eine Aktion zu führen, die den Device-Login-Prozess startet.
2) Weiterleitung zur echten Microsoft-Authentifizierung
Nach dem Aufrufen der Köderseite wird das Opfer auf das legitime Microsoft Device-Login-Portal geleitet. Dort soll es einen Code eingeben, der zuvor vom Angreifer bereitgestellt wurde. Genau diese Eingabe bestätigt die Berechtigung aus Sicht der Authentifizierung.
3) Token-Zugriff (OAuth access)
Wenn das Opfer die Authentifizierung abschließt, können Angreifer Zugriffstoken sowie Refresh-Token erhalten. Damit sind sie nicht nur auf einen kurzen Zugriff beschränkt. Stattdessen können sie weiterhin auf Microsoft 365 E-Mail, Dokumente und Cloud-Ressourcen zugreifen.
Diese Token-Langlebigkeit ist der Grund, warum aus einem einzelnen „stimmigen“ Login-Vorgang schnell ein breiterer Incident werden kann.
Warum die Bedrohung für Unternehmen so teuer wird
Ein genehmigtes Device-Code-Request kann sich zu einem größeren Microsoft-365-Engagement entwickeln. Für US-Firmen werden in der Quelle mehrere Folgeeffekte beschrieben:
- Finanzbetrug: Gekompromittierte E-Mail-Konten können die Manipulation von Rechnungen unterstützen, Zahlungsbetrug ermöglichen und Business-E-Mail-Compromise fördern.
- Exposition sensibler Daten: Angreifer können auf Unternehmenspostfächer, interne Dateien, Kundeninformationen und vertrauliche Dokumente zugreifen.
- Operative Störungen: Unbefugter Zugriff auf Cloud-Dienste kann die Kommunikation und Geschäftsprozesse beeinträchtigen.
- Höhere Kosten für die Reaktion: Weil die Warnsignale im Prozess weniger offensichtlich sein können, dauert die Entdeckung oft länger. Das macht Eindämmung komplexer.
- Compliance- und Reputationsrisiken: Wenn regulierte oder kundenseitige Daten betroffen sind, können Meldepflichten entstehen und das Vertrauen sinken.
Besonders tückisch ist, dass das Opfer sich im Moment der Authentifizierung auf einer legitimen Microsoft-Seite befindet. Dadurch kann das Geschehen zunächst wie ein normaler Anmeldefall wirken, bevor klar ist, dass Tokens missbraucht wurden.
Warum E-Mail-Filter allein nicht helfen
Kali365 setzt nicht nur darauf, eine klassische Phishing-Mail zu liefern. Stattdessen nutzt der Angriff den legitimen Login-Flow, um Berechtigungen über OAuth und Device-Code-Bestätigungen zu erlangen. Folglich kann ein reiner Fokus auf Mail-Filtering die Lücke nicht schließen.
Security-Verantwortliche brauchen deshalb vor allem aktuelle Kampagnensignale, schnelle Validierung auffälliger Ereignisse und eine klare Vorbereitung darauf, wie sich die Bedrohung weiterentwickeln kann.
3 Prioritäten zur Reduzierung des Kali365-Risikos
In der Quelle werden drei praktische Schwerpunkte genannt, die Teams dabei unterstützen sollen, den Angriff früher zu erkennen und schneller einzudämmen.
1) Erkennungen mit verwertbarer Phishing-Intelligence erweitern
Da Betreiber Domains, URLs und Hosting-Infrastruktur rotieren können, wird es schnell problematisch, sich nur auf alte Indikatoren zu verlassen. Was heute hilft, kann morgen schon unzuverlässig sein.
Daher sollten frische IOCs in mehreren Kontrollpunkten landen: in SIEM-, SOAR- und TIP-Umgebungen, in Firewalls sowie in weiteren Security-Controls. Ziel ist, Alerts anzureichern, retrospektive Suchen zu ermöglichen und blockierende Entscheidungen datenbasiert zu treffen.
Die Quelle beschreibt, dass sich Threat Intelligence unter anderem über STIX/TAXII sowie über APIs und SDKs einbinden lässt. Besonders wertvoll ist, dass Indikatoren jeweils mit dem Sandbox-Kontext verknüpft sind, in dem sie beobachtet wurden.
2) Tier-1-Teams mit belastbaren Belegen ausstatten
Da das Opfer am Ende auf einer echten Microsoft-Seite authentifiziert, wirkt der Vorgang für Tier 1 möglicherweise zunächst normal. Die entscheidenden Hinweise entstehen jedoch früher: in der Köderseite, in Redirects, im Browser-Verhalten, in Skripten und in der Infrastruktur, die der Angreifer kontrolliert.
Um solche Hinweise schneller sichtbar zu machen, wird ein interaktives Sandbox-Setup beschrieben, das manuelles Ausprobieren mit automatisierter Analyse kombiniert. So soll die komplette Kette vom Phishing-Köder bis zur Überleitung in den Microsoft-Authentifizierungsfluss schneller nachvollziehbar werden.
Auto-generierte Reports sollen darüber hinaus Verdict, IOCs, TTPs und beobachtbares Verhalten in einem teilbaren Format bündeln. Das kann helfen, bösartige Aktivität früher zu bestätigen und komplexe Fälle mit klarerem Kontext an höhere Stufen zu übergeben.
3) Bedrohungsforschung in proaktive Verteidigung übersetzen
Wichtig ist, einen einzelnen Alert nicht als isoliertes Ereignis zu behandeln. Teams sollen Kampagnendaten nutzen, um zu prüfen, ob weitere Infrastrukturkomponenten oder verwandte Sessions vorhanden sind.
Als Beispiel nennt die Quelle eine Abfrage, die sich an US-getriebener Aktivität orientiert: Dabei wird „kali365“ mit einem Filter auf das Herkunftsland „US“ kombiniert. Ziel ist, Angriffe über verschiedene Branchen hinweg sichtbar zu machen und so Domänen, URLs und Infrastrukturverbindungen besser zu beurteilen.
Zusätzlich werden Threat-Intelligence-Reports erwähnt, die manuell durch Analysten erstellt werden. Sie fokussieren aktive Malware- und Phishing-Kampagnen, einschließlich APT- und Cybercrime-Kontext. Für SOC-Teams kann das eine Grundlage sein, Muster früher zu erkennen und Vorsorge zu treffen, bevor ein ähnlicher Angriff in die eigene Umgebung gelangt.
Token-Abuse stoppen, bevor er sich ausweitet
Mit Kali365 entsteht Druck auf eine Komponente, die viele Organisationen weiterhin als vertrauenswürdig voraussetzen: die Cloud-Authentifizierung. Die zentrale CISO-Aufgabe besteht darin, manipulierte Login-Flows zu erkennen, die Aktivität bis zur Quelle zurückzuverfolgen und die Zugriffe einzudämmen, bevor E-Mail, Dateien oder zentrale Geschäftsprozesse betroffen sind.
Die Quelle beschreibt zudem messbare Verbesserungen, die durch die Nutzung entsprechender Analyse- und Intelligence-Workflows berichtet wurden. Genannt werden unter anderem schnellere Triaging-Zeiten, geringere MTTR pro Fall, reduzierte Tier-1-Auslastung und weniger Eskalationen zwischen Tier 1 und Tier 2. Unterm Strich soll das die Zeit verkürzen, in der Token missbraucht werden können, um Betrug, Datenexposition oder operative Störungen auszulösen.
Fazit: Verhindern Sie Identitätsangriffe mit Verhaltensbelegen
Kali365 zeigt, dass Identitätsbedrohungen besonders gefährlich werden, wenn Angreifer die legitime Authentifizierung als Transportmechanismus für ihre Berechtigungen nutzen. Damit ist das Risiko nicht nur ein „Phishing“-Problem, sondern ein Problem der Token- und Session-Sicherheit.
Wer den Angriff wirksam eindämmen will, sollte auf verwertbare Phishing-Intelligence setzen, Tier-1 mit klaren Belegen unterstützen und die gewonnenen Erkenntnisse konsequent in proaktive Verteidigung übersetzen. So sinkt die Wahrscheinlichkeit, dass aus einem einzelnen Login-Vorgang ein größerer Incident entsteht.
Quelle: https://thehackernews.com/2026/08/kali365-weaponizes-microsoft.html
