Consent-Phishing-Angriffe nutzen Microsoft Entra ID für den persistenten Zugriff auf Daten

Hintergrund

Die beschriebene 'Consent-Phishing'-Technik zielt darauf ab, in Microsoft Entra ID- und Microsoft 365-Umgebungen 'illicit consent grants' zu erhalten. Angreifer nutzen Social Engineering, mittels gezielter E-Mails oder injiziertem Code auf kompromittierten Webportalen, um die Opfer dazu zu bringen, auf Links zu klicken, die den standardmäßigen OAuth 2.0-Zustimmungsfluss starten. Die Opfer werden zu den legitimen Endpunkten der Microsoft Identity Platform (z.B. 'https://login.microsoftonline.com/') weitergeleitet und sehen eine authentische Autorisierungsanfrage, die sie dazu drängt, die Bedingungen zu akzeptieren, ohne die Identität des Entwicklers oder den Umfang der Berechtigungen zu überprüfen. Sobald die Zustimmung erteilt wurde, erwirbt die bösartige Anwendung autonome Betriebsrechte und kann regelmäßig neue Zugriffstoken von Microsoft Entra ID anfordern, indem sie direkt auf die Cloud-APIs von Microsoft Graph (z.B. 'https://graph.microsoft.com/') zugreift, um mit den autorisierten Daten zu interagieren, ohne die Anmeldeinformationen des Opfers zu benötigen. Wenn die Zustimmung von einem Standardbenutzer erteilt wird, betrifft die Datenexfiltration dessen zugängliche Ressourcen (z.B. 'Mail.Read' für E-Mails, 'Files.ReadWrite' für OneDrive). Wenn ein Administrator die Zustimmung auf Mandantenebene erteilt, erstreckt sich der Zugriff auf die Ressourcen der gesamten Organisation. Die allgemeine Schwere ist hoch, da die üblichen Incident-Response-Verfahren, wie Passwortrotation oder MFA, unwirksam sind; es ist erforderlich, die der Anwendung erteilten Berechtigungen zu widerrufen. Die forensische Nachverfolgung ist komplex, da der initiale Zugriff des legitimen Benutzers in den 'Sign-in Logs' regulär erscheint und der Nachweis des Eindringens in den Überwachungsprotokollen zu finden ist.

Warum es wichtig ist

'Consent Phishing' stellt ein persistentes Datenabflussrisiko für jedes Unternehmen dar, das Microsoft 365 und Entra ID nutzt, da es Angreifern ermöglicht, auf E-Mails, Kontakte und Dokumente zuzugreifen, ohne die Anmeldeinformationen des Nutzers zu besitzen und gängige Abwehrmaßnahmen zu umgehen. Herkömmliche Sicherheitspraktiken wie Passwortänderung oder Mehrfaktor-Authentifizierung reichen nicht aus, um diese Angriffe zu stoppen, da der Zugriff auf Anwendungsebene und nicht auf Benutzerebene autorisiert wird. Organisationen müssen einen Prozess zur Überprüfung der für Anwendungen erteilten Zustimmungen implementieren, insbesondere für solche, die hohe oder mandantenweite Privilegien erfordern. Eine regelmäßige Überprüfung der aktiven Berechtigungen hilft, unrechtmäßige Zugriffe zu identifizieren und zu widerrufen, bevor sie umfassende Schäden verursachen.

Was zu tun ist

• Unrechtmäßige Berechtigungen, die bösartigen Anwendungen in Microsoft Entra ID erteilt wurden, unverzüglich widerrufen.
• Die Identität des Entwicklers, die Herkunftsdomäne und den Umfang der angeforderten Privilegien überprüfen, bevor externen Anwendungen die Zustimmung erteilt wird.
• Überwachungsprotokolle (Audit Logs) auf Anomalien im Zusammenhang mit der Erteilung von Zustimmungen überwachen, da Anmeldeereignisse möglicherweise keine Abweichungen zeigen.
• Die Fähigkeit von Benutzern einschränken, Zustimmungen für Anwendungen zu erteilen, die weitreichende oder mandantenweite Privilegien erfordern.

Was zu vermeiden ist

• Sich bei der Zugriffs widerruf bei 'Consent Phishing' nicht ausschließlich auf Passwortrotation oder Mehrfaktor-Authentifizierung (MFA) verlassen, da diese Maßnahmen unwirksam sind.
• Es vermeiden, Autorisierungsanfragen von Anwendungen ohne sorgfältige Überprüfung des Entwicklers, der Domäne und der angeforderten Berechtigungen zu akzeptieren.
• Die Analyse der Überwachungsprotokolle für forensische Nachverfolgung nicht vernachlässigen, da Anmeldeereignisse in diesen Szenarien das Eindringen möglicherweise nicht aufzeigen.

Praktische Auswirkungen

Organisationen, die Microsoft Entra ID und Microsoft 365 nutzen, sind einem ausgeklügelten Angriffstyp ausgesetzt, der traditionelle Abwehrmaßnahmen umgeht. Die Persistenz des Zugriffs durch Angreifer, die keine Benutzeranmeldeinformationen mehr benötigen, erschwert die Erkennung und Behebung der Kompromittierung mit Standardmaßnahmen. Die Fähigkeit eines Administratorbenutzers, Berechtigungen auf Mandantenebene zu erteilen, verstärkt das Risiko, da die potenzielle Datenexfiltration auf die gesamte Organisation ausgeweitet wird.

Empfohlene Maßnahmen

• Strenge Kontrollrichtlinien für die Zustimmung von Anwendungen in Microsoft Entra ID implementieren.
• Die Möglichkeit für Standardbenutzer einschränken, Zustimmungen für Anwendungen mit hohen Privilegien zu erteilen.
• Einen Prozess zur regelmäßigen Überprüfung der allen Anwendungen, insbesondere Drittanbieteranwendungen, erteilten Berechtigungen etablieren.
• Benutzer und Administratoren schulen, verdächtige Zustimmungsanfragen zu erkennen, indem sie Entwickler, Domäne und Berechtigungen überprüfen.

Zu vermeidende Fehler

• Annehmen, dass Anwendungsberechtigungen standardmäßig sicher sind oder keinen kritischen Angriffsvektor darstellen.
• Die Schulung der Benutzer über die Risiken von 'Consent Phishing' und die Bedeutung einer sorgfältigen Überprüfung von Autorisierungsanfragen vernachlässigen.
• Sich bei der Identifizierung von Kompromittierungen nur auf Anmeldeereignisse verlassen und spezifische Audit-Protokolle für Zustimmungsereignisse ignorieren.

Fragen zur Selbsteinschätzung

• Haben wir eine klare Richtlinie für die Erteilung der Zustimmung zu Anwendungen in Microsoft Entra ID?
• Wie überwachen und überprüfen wir regelmäßig die Berechtigungen, die Drittanbieteranwendungen innerhalb unseres Microsoft 365-Tenants erteilt wurden?
• Sind unsere Benutzer und Administratoren ausreichend über die Risiken des 'Consent Phishing' geschult und wissen sie, wie unrechtmäßige Zustimmungsanfragen zu erkennen sind?
• Können wir unrechtmäßige Zustimmungen, die bösartigen Anwendungen erteilt wurden, rechtzeitig erkennen und widerrufen?