Neue Evasion-Technik umgeht Sicherheitssysteme
Sicherheitsforschende haben eine neue Angriffsmethode dokumentiert, die von mindestens zwei verschiedenen Threat-Actor-Gruppen aktiv eingesetzt wird: OAuth Client ID Spoofing. Diese Technik erlaubt es Angreifern, in Microsoft Entra ID Umgebungen tätig zu werden, ohne dabei klassische Sicherheitswarnungen auszulösen.
Wie das Spoofing funktioniert
Die Angreifer nutzen die Manipulation von OAuth Client IDs, um gestohlene Anmeldedaten zu validieren und Benutzerkonten zu enumerierten. Der zentrale Vorteil dieser Methode liegt in ihrer Unauffälligkeit: Im Gegensatz zu direkten Anmeldeversuchen generiert OAuth Client ID Spoofing keinen "successful sign-in event". Das bedeutet, dass Defender und Security Operations Center (SOC) Teams keine typischen Alarmsignale erhalten.
Die Technik ermöglicht es Angreifern somit:
- Gestohlene Zugangsdaten zu überprüfen, bevor sie diese nutzen
- Gültige Benutzerkonten zu identifizieren
- Ihre Aktivitäten vor Telemetrie-Systemen zu verbergen
Praktische Implikationen für Unternehmen
Das Risiko liegt darin, dass Angreifer präzisere und gezieltere Angriffe durchführen können. Sie wissen nach dieser Validierungsphase genau, welche Konten kompromittiert wurden und welche Anmeldedaten funktionieren. Dies verkürzt die Zeit bis zum eigentlichen Angriff und erhöht die Erfolgsquote.
Besonders problematisch: Die fehlende Sicherheitsmeldung bedeutet, dass Angreifer möglicherweise längerfristig unbemerkt arbeiten können, bevor sie ihre eigentliche Attacke starten.
Was Unternehmen tun sollten
Organisationen, die Microsoft Entra ID nutzen, sollten ihre OAuth-Konfiguration überprüfen und Monitoring-Regeln anpassen. Das reine Abhängigen von "successful sign-in events" reicht nicht mehr aus. Ebenso wichtig ist eine Überwachung fehlgeschlagener OAuth-Authentifizierungen und anomaler Client ID-Muster.
Das Incident Response Team sollte zusätzlich auf verdächtige API-Aktivitäten und unerwartete Authentifizierungsversuche achten – auch wenn diese keinen erfolgreichen Login generieren. Credential-Hygiene bleibt essentiell: Regelmäßige Passwortrotation und Multi-Factor Authentication reduzieren das Schadenspotenzial gestohlener Anmeldedaten erheblich.