Was passiert
Sicherheitsforscher haben ein neues Phishing-Kit identifiziert, das unter dem Namen NovaCookies vertrieben wird und eine Adversary-in-the-Middle-Attacke (AitM) gegen Microsoft 365-Nutzer ermöglicht. Das Angebot ist bemerkenswert simpel: Der monatliche Abonnementpreis liegt bei 320 US-Dollar.
Das Kit funktioniert nach einem bewährten Muster der AitM-Phishing-Infrastruktur. Angreifer setzen einen Proxy-Server auf, der sich zwischen das Opfer und den legitimen Microsoft-365-Login-Server schaltet. Das System fängt nicht nur die Benutzerdaten ab, sondern stiehlt vor allem die Session-Cookies. Diese Cookies sind das Schlüsselelement: Sie enthalten die Authentifizierungs-Token, die ein Gerät dem Server gegenüber als berechtigt ausweisen – unabhängig davon, ob die Anmeldedaten noch aktuell sind oder ob Zwei-Faktor-Authentifizierung aktiviert wurde.
Das macht NovaCookies deutlich gefährlicher als klassische Phishing-Kits, die nur Passwörter stehlen. Mit den gestohlenen Session-Cookies können Angreifer direkt in fremde Microsoft-365-Konten eindringen – ohne das Passwort zu kennen, ohne MFA-Codes eingeben zu müssen. Sie erhalten unmittelbar Zugriff auf E-Mails, Teams-Chats, OneDrive-Dateien und alle anderen Unternehmensdaten, die an das Konto gebunden sind.
Die Preisgestaltung bei 320 Dollar pro Monat positioniert NovaCookies bewusst als Low-Cost-Option. Das ist eine strategische Entscheidung: Ein solcher Preis senkt die Einstiegshürde für weniger finanzstarke Angreifergruppen erheblich und demokratisiert den Missbrauch gleichzeitig. Der Service wird vermutlich über Underground-Foren oder Telegram-Kanäle angeboten, wie es bei vergleichbaren AitM-Phishing-Infrastrukturen üblich ist.
Zeitlich signalisiert dieses Angebot einen Trend: AitM-Phishing hat sich von einer Taktik spezialisierter, gut ausgestatteter Gruppen zu einer Commodity entwickelt. Ähnliche Dienste sind bereits unter Namen wie Evilginx2 oder proprietären Varianten im Umlauf, doch ein explizites, günstiges Abonnement-Modell für Microsoft-365-spezifische Angriffe ist trotzdem noteworthy.
Einordnung: AitM-Phishing und die Grenzen klassischer Sicherheit
Um die Gefahr von NovaCookies richtig einzuordnen, muss man verstehen, warum Session-Cookies so wertvoll sind und warum traditionelle Abwehrmaßnahmen hier teilweise versagen.
Die klassische Phishing-Verteidigungslinie war lange: "Starkes Passwort + Zwei-Faktor-Authentifizierung = sicher." Das funktioniert, wenn der Angreifer nur das Passwort will. Bei AitM-Attacken ist diese Logik unterbrochen. Der Proxy sitzt im Datenstrom – der Nutzer authentifiziert sich gegenüber einem Server, den er für legitim hält (weil die URL identisch aussieht), aber der Proxy leitet die Authentifizierung in Echtzeit weiter und schnürt sich dabei die Session-Cookies unter den Nagel.
Microsoft 365 ist ein bevorzugtes Ziel für diese Technik, weil Exchange Online, SharePoint und Teams zentrale Drehscheiben für Unternehmenskommunikation und -daten sind. Ein kompromittiertes Microsoft-365-Konto ist nicht einfach ein E-Mail-Account – es ist ein Zugriffsvektor auf Kundenlisten, Finanzunterlagen, Vertragsunterlagen und interne Kommunikation.
Das Umfeld, in dem NovaCookies auftaucht, ist auch relevant: Andere AitM-Phishing-Services wie Evilginx2 haben gezeigt, dass diese Angriffsmethode robust gegen Standard-Verteidigungen ist. Microsoft hat zwar Sicherheitsfeatures wie Conditional Access und Risky Sign-In Detection eingebaut, doch diese setzen auf Muster-Erkennung und Anomalien auf dem Server-Backend ab – sie können AitM-Angriffe nur einschränken, nicht vollständig verhindern. Der Grund: Der tatsächliche Login sieht für Microsoft legitim aus, wenn der Cookie rechtzeitig weitergereicht wird.
Die Tatsache, dass NovaCookies zu einem Monatspreis von 320 Dollar angeboten wird, zeigt auch, dass die Angreifer dieses Modell als nachhaltig und skalierbar einstufen. Das unterscheidet sich von einem reinen Exploit-Verkauf (einmaliger Kauf) oder von hochwertigen APT-Tools (fünfstellige Preise). NovaCookies richtet sich an eine Breite von Akteuren: von kleineren Cyberkriminellen bis zu Mid-Tier-Gruppen.
Was das bedeutet: Session-Cookies sind das neue Ziel – und Unternehmen sind unterrüstet
Die zentrale Erkenntnis ist diese: Der Fokus krimineller Infrastruktur verschiebt sich weg von Passwörtern hin zu Session-Tokens. Das ist kein marginales Update der Bedrohungslage – es ist eine Verschiebung der Angriffsfläche.
Für Unternehmen bedeutet das konkret, dass die bisherige Maxime "Passwort schützen und MFA erzwingen" nicht ausreicht. Session-Token sind kurzlebig, aber wertvoll – und während ihrer Gültigkeit bieten sie einen Backdoor, den klassische Authentifizierung nicht blockiert. Conditional Access in Azure AD hilft, aber erfordert kontinuierliche Feinabstimmung und ist anfällig für Fehlkonfigurationen. Browser-Isolation und erweiterte Phishing-Erkennung (etwa durch Computer-Vision auf Phishing-Seiten) adressieren das Problem direkter, sind aber nicht flächendeckend deployed.
Der wirtschaftliche Punkt: Ein Abonnement-Modell zu 320 Dollar pro Monat ist eine Geschäftsmodell-Innovation im Cybercrime-Ökosystem. Es bedeutet, dass AitM-Phishing nicht mehr eine Spezialistenanfertigung für gut ausgestattete Gruppen ist – es wird zum Massenprodukt. Das erhöht die statistische Wahrscheinlichkeit, dass auch durchschnittliche Unternehmen zum Ziel werden, nicht nur High-Value-Targets. Wer bislang dachte, AitM-Phishing sei ein Problem für große, exponierte Organisationen, muss diese Einschätzung korrigieren.
