Aktuell wird eine weitreichende, E-Mail-getriebene Phishing-Kampagne beobachtet, die mit einer Adversary-in-the-Middle-Technik (AitM) darauf abzielt, Microsoft 365 AitM-Phishing-Opferkonten zu übernehmen. Die Angreifer wollen vor allem herausfinden, welche Personen in einem Unternehmen für Finanzprozesse zuständig sind, und anschließend passende E-Mail-Inhalte abgreifen.
Besonders bemerkenswert: In den beobachteten Fällen nutzten die Täter Wohnsitz-Proxyadressen, um Anmeldungen wie gewöhnlichen Konsumentenverkehr wirken zu lassen. Gleichzeitig sorgen automatisierte Abläufe dafür, dass kompromittierte Sitzungen über längere Zeiträume funktionsfähig bleiben.
Worum es bei Microsoft 365 AitM-Phishing geht
Im Kern führt die Kampagne zu einer kontrollierten Umleitung des Authentifizierungsflusses. Statt den Login-Bereich nur zu imitieren, platzieren die Angreifer sich zwischen das Opfer und den legitimen Microsoft-Anmeldevorgang. Dadurch können sie Zugangsdaten sowie auch MFA-Codes (Multi-Factor Authentication) abfangen.
Die Forschenden ordnen die Aktivität als weit verbreiteten Angriff ein, der Organisationen in unterschiedlichen Branchen betrifft. Genannt werden unter anderem Gesundheitswesen, Bildung, Industrie, Regierungsstellen sowie professionelle Dienstleistungen. Zudem betrifft die Kampagne offenbar Unternehmen in den USA, Kanada und Europa.
Zusammenhang zu Payroll Pirate und finanziell motivierten Clustern
Microsoft und Sicherheitsanbieter haben bereits ähnliche Muster mit finanziell motivierten Bedrohungsgruppen in Verbindung gebracht. In der aktuellen Beobachtung gibt es taktische Überschneidungen mit den unter dem Namen Storm-2755 verfolgten Payroll Pirate-Aktivitäten.
Payroll Pirates zielt typischerweise darauf ab, Mitarbeiterkonten so zu übernehmen, dass Gehaltszahlungen in Richtung von Angreifer-Konten umgeleitet werden können. Bereits seit Anfang 2025 dokumentierte Microsoft Teile dieses Risiko-Komplexes; im Umfeld wird außerdem ein verwandter Tracking-Name Storm-2657 erwähnt.
Für die laufende Phishing-Kampagne berichten die Forschenden, dass im vergangenen Monat Hunderte von Organisationen per E-Mail angegriffen wurden. Dabei kam es in vielen Umgebungen zu erfolgreichen Einbrüchen.
So läuft der Angriff ab: sechs Stufen bis zur AitM-Seite
Die Angriffs-Kette startet offenbar mit E-Mails, die mit Themen rund um Voicemail arbeiten. Diese sollen Opfer auf eine AitM-Zielseite führen, die als Proxy für den echten Microsoft-Authentifizierungsprozess fungiert.
Entscheidend ist dabei eine sechs-stufige Weiterleitung, die legitime und als vertrauenswürdig geltende Dienste nutzt. Laut Analyse werden dabei Dienste wie Google, Google Meet, Google Ads sowie Amazon S3 in die Kette eingebunden, um Reputation-basierte Filter zu umgehen.
Der Ablauf beginnt dabei mit einer Google-Meet-Link-Redirect-URL. Anschließend führt die Kette über die Outbond-Link-Infrastruktur von Google weiter und mündet in einen Kampagnen-Tracking-Mechanismus, der dynamische Klick-Ziele enthält. In beobachteten Fällen zeigte das Ziel innerhalb des Tracking-Links auf ein HTML-Objekt, das in einem AWS-S3-Bucket gehostet war. Von dort wird das Opfer schließlich auf die eigentliche AitM-Phishing-Infrastruktur weitergeleitet.
Technischer Feinschliff: Browser-Fingerprinting und Datenübermittlung
Die Phishing-Seiten arbeiten nicht nur mit einer täuschenden Oberfläche. Sie setzen außerdem JavaScript ein, um das besuchte System zu identifizieren und die Umgebung des Opfers auszulesen. Dazu gehören unter anderem Informationen zu Webbrowser, Betriebssystem sowie Angaben zu Bildschirm- und Fenstermaßen, Sprache, Zeitzonenversatz und Cookie-Fähigkeiten.
Hinzu kommen Hinweise auf den Automations- bzw. Test-Charakter, beispielsweise WebDriver-Status. Auch WebGL-Parameter und die Verfügbarkeit bestimmter Browser-APIs werden erfasst. Danach packt das Skript die Daten und sendet sie per HTTP POST an einen PHP-Endpunkt. Anschließend wird der Browser weiter auf einen proxied Microsoft OAuth-Authorization-Zielpunkt umgeleitet.
Zusätzlich wird eine Geolocation-API abgefragt, um einen Ländercode zu ermitteln. Das Ergebnis wird in einem Cookie namens rcfh_country gespeichert, mit einer Laufzeit von sieben Tagen.
Warum Wohnsitz-Proxys das Ganze so schwer erkennbar machen
Die Forschenden konnten beobachten, dass die kompromittierenden Anmeldeversuche innerhalb weniger Minuten über einen Residential-Proxy-Exit-Node im jeweiligen Land des Opfers starten. Das deutet darauf hin, dass Angreifer Geolocation-Daten womöglich nutzen, um passende, geografisch abgestimmte Proxy-Infrastruktur für nachfolgende Logins auszuwählen.
Dadurch sollen Sicherheitskontrollen, die Zugriffe aus ungewohnten IP-Räumen blockieren, weniger häufig auslösen. In manchen Fällen meldeten die Anmeldungen zudem unplausible Kombinationen aus Browser- und Betriebssystemprofil, etwa mobile Apple-Safari- oder Chrome-Varianten auf einem Windows-10-Umfeld.
Wiederkehrende Anmeldungen im Acht-Stunden-Takt
Ein weiterer Hinweis auf automatisierte Steuerung: Typischerweise begannen die bösartigen Anmeldungen 11 bis 24 Stunden nach der ersten auffälligen Aktivität, anschließend in einem wiederkehrenden Rhythmus. Dabei wurden Anmeldungen beobachtet, die in achtstündigen Intervallen erneut auftraten und von wechselnden Residential-Proxy-Adressen kamen.
In den Berichten wird außerdem erwähnt, dass dabei eine nicht erwartete Client-Anwendung gemeldet wurde. Obwohl Microsoft Outlook als Client auftauchte, passten User-Agent-Strings in Teilen nicht, etwa Firefox-Varianten oder gelegentlich Python-Requests-Profile statt dem erwarteten Edge-Browser.
Bemerkenswert ist zudem, dass trotz wechselnder Quell-IP, ASN und geografischer Lage das SessionID gleich blieb. Das spricht für eine Art zentraler Automatisierung, die kompromittierte Sitzungen unabhängig voneinander auffrischt.
Was nach dem Zugriff passiert: E-Mail-Sammlung statt „klassischer“ BEC-Muster
Für den Zeitraum nach der erfolgreichen Übernahme der Sitzung berichten die Forschenden, dass die Angreifer vor allem Session-Pflege, Reconnaissance (Erkundung) und eine Mailbox-Sammlung durchführen. Auffällig ist: Mehr typische BEC-Verhaltensweisen (Business Email Compromise) wurden in den untersuchten Fällen nicht in derselben Breite beobachtet.
Die Begründung: Indem die Betreiber diese „klassischen“ Zeichen weitgehend vermeiden, sinkt die Wahrscheinlichkeit, dass sich der Angriff früh über Kontoänderungen oder Missbrauch von ausgehenden E-Mails detektieren lässt.
Ausnahmen: gezielte Inbox-Regeln per Hand
Gleichzeitig zeigen einzelne Fälle, dass die Täter in bestimmten Situationen interaktiv eingriffen. Es wurden etwa Inbox-Regeln erstellt, die bestimmte Nachrichten automatisch von „Inbox“ nach „Deleted Items“ verschoben und als gelesen markiert haben.
Das Muster, das daraus entsteht: Eine zentrale Automatisierung übernimmt den Großteil, aber die Operatoren greifen selektiv ein, wenn es um konkrete Manipulation von Postfächern oder das gezielte „Löschen“ bestimmter Inhalte geht.
Ermittlung von Zielpersonen und relevanten Nachrichten
Wie bei Storm-2755 wird auch in der aktuellen Kampagne berichtet, dass die Angreifer die Microsoft Graph API nutzen, um relevante Tenant-Benutzer zu identifizieren. Der Fokus liegt dabei auf Nutzern, die zu Payroll, HR, Finance und administrativen Funktionen gehören.
Danach greifen sie auf Nachrichten zu, die thematisch zu Gehaltszahlungen, Rechnungen, Zahlungen, Bankinformationen, Benefits sowie internen Dokumenten passen. Auf diese Weise priorisieren die Angreifer ihre Suche nach Inhalten, die für finanzielle Prozesse entscheidend sein können.
Warum die Verzögerung die Zuordnung erschwert
Ein zentraler Punkt für die Verteidigung: Die Angreifer benötigen offenbar Zeit zwischen dem anfänglichen Zugriff und dem Beginn der wiederkehrenden Automatisierung. Gleichzeitig bleibt das Verhalten danach vergleichsweise zurückhaltend.
Dieses Zusammenspiel macht es für Teams schwerer, den Angriff zuverlässig mit dem ursprünglichen Phishing-Vorfall zu verknüpfen. Zudem löst das Verhalten weniger oft bereits vorhandene Detektionsmuster aus, die speziell auf frühe Kontoänderungen oder aggressives Inbound/Outbound-Missbrauchsverhalten achten.
Fazit
Microsoft 365 AitM-Phishing zeigt eindrücklich, wie ausgefeilt aktuelle E-Mail-Angriffe in legitime Umleitungsketten, Proxy-Infrastruktur und technisch unterstütztes Fingerprinting eingebettet sein können. Das Ziel bleibt dabei klar: kompromittierte Sitzungen ausnutzen, Zielpersonen im Finanz- und HR-Umfeld finden und anschließend relevante E-Mail-Inhalte sichern.
Für Unternehmen bedeutet das vor allem, Log- und Anomalie-Erkennung stärker an Anmelde- und Sitzungsmustern auszurichten und darauf zu achten, ob wiederkehrende Aktivitäten aus wechselnden (scheinbar „normalen“) Residential-IPs auftauchen — selbst wenn keine klassischen BEC-Verhaltensweisen sofort sichtbar werden.
Quelle: https://thehackernews.com/2026/08/microsoft-365-aitm-phishing-hijacks.html
