Angreifer nutzen legitime Features für Datendiebstahl
Sicherheitsforscher haben eine neue Angriffskampagne dokumentiert, die Microsofts Self-Service Password Reset (SSPR) zweckentfremdet. Ziel sind Microsoft 365 und Azure Produktionsumgebungen. Die Bedrohungsakteure nutzen dabei nicht neue Sicherheitslücken, sondern missbrauchen reguläre Administrative Features – ein Ansatz, der Erkennung erschwert.
Wie der Angriff funktioniert
Das Self-Service Password Reset ist normalerweise ein legitimes Tool, mit dem Nutzer ihre Passwörter zurücksetzen können, ohne Support-Tickets zu öffnen. Angreifer haben erkannt, dass dieses Feature unter bestimmten Bedingungen zur Kontoübernahme missbraucht werden kann. Durch Kombination mehrerer Faktoren – etwa Social Engineering oder vorab gestohlener Daten – gelingt es ihnen, in privilegierte Accounts einzudringen.
Einmal mit admin-ähnlichen Rechten ausgestattet, können die Angreifer:
- Sensible Daten exfiltrieren: Direkter Zugriff auf Produktionsumgebungen und gespeicherte Informationen
- Lateral Movement durchführen: Von einem kompromittierten Account aus weitere Systeme infiltrieren
- Spuren verwischen: Legitime Features nutzen bedeutet weniger auffällige Audit-Logs
Warum SSPR ein Ziel ist
Password-Reset-Mechanismen sind oft weniger streng überwacht als andere Admin-Funktionen. Viele Organisationen behandeln SSPR als harmlos – schließlich ist es Endbenutzern zugänglich. Angreifer exploitieren genau diese Annahme. Die Attacken sind deshalb effektiv, weil sie nicht auf technische Exploits angewiesen sind, sondern auf Fehlkonfigurationen und organisatorischen Schwachstellen.
Schutzmaßnahmen
Organisationen sollten folgende Schritte priorisieren:
- SSPR konfigurieren: Strenge Anforderungen für Authentifizierungsmethoden festlegen
- Monitoring verstärken: Ungewöhnliche Password-Reset-Aktivitäten tracken
- MFA erzwingen: Multi-Factor Authentication für alle privilegierten Accounts aktivieren
- Conditional Access nutzen: Azure AD Policies nutzen, um verdächtige Zugriffe zu blockieren
- Audit Logs regelmäßig prüfen: Unerwartete Account-Änderungen früh erkennen
Fazit
Dieser Angriff zeigt ein wiederkehrendes Muster: Angreifer suchen nicht immer nach Zero-Days, sondern nach schlecht konfigurierten oder zu permissiven legitimen Features. In Hybrid-Umgebungen mit Microsoft 365 und Azure ist ein ganzheitliches Identity- und Access-Management Essential.