Microsoft-365-Token-Replay-Kampagne betrifft 79 Organisationen über AitM-Relays

Zwischen dem 14. Juli und dem 22. September 2026 nutzten Angreifer Adversary-in-the-Middle-Relays (AitM), um Anmelde-Tokens für Microsoft 365 zu stehlen und diese gegen die Mandanten der Opfer erneut einzusetzen. Huntress verfolgte die Aktivität, die 79 Organisationen betraf und 97 Konten kompromittierte, während Dutzende unberechtigter Entra-Geräte registriert wurden.

Was geschah

Huntress beobachtete mehr als 200.000 Login-Versuche im Zusammenhang mit dieser Kampagne, was zu 497 erfolgreichen Microsoft-365-Anmeldungen führte. Aus diesen Sitzungen heraus übernahmen die Bedrohungsakteure schließlich 97 Benutzerkonten und registrierten mindestens 48 gefälschte Computer in den Microsoft-Verzeichnissen der Opfer. Die Forscher führten die Mehrheit der fehlgeschlagenen Versuche auf den IP-Bereich 193.26.115[.]0/24 zurück, wobei erste Beobachtungen auf eine rumänische Adresse, 193.26.115[.]221, hindeuteten.

Nachdem sie Zugang erhalten hatten, fügten die Angreifer ihre eigenen Authenticator-Apps hinzu, um die Persistenz zu wahren und zukünftige MFA-Herausforderungen zu umgehen. In mindestens 19 Organisationen wurden vorhandene MFA-Methoden entfernt und neue innerhalb von drei Stunden nach der ersten unbefugten Anmeldung registriert. In einem Fall am 21. Juli 2026 erschien ein als „iPhone 13“ beschrifteter Authenticator weniger als 51 Minuten nach der Übernahme des Kontos.

Die Eindringlinge erstellten zudem versteckte Posteingangsregeln mit Namen wie „.“, „sss“ und „d“, um Nachrichten zu löschen oder weiterzuleiten, die Schlüsselwörter wie Gehalt, Einzahlung und Bonus enthielten. Einige Regeln verschoben E-Mails in obskure Ordner wie RSS-Feeds und Konversationsverlauf, und in einem Postfach wurden alle eingehenden Nachrichten als gelesen markiert und gelöscht, bevor das Konto zum Versenden von ausgehendem Spam verwendet wurde.

Wie es funktioniert

Die Kerntechnik ist ein Adversary-in-the-Middle-Relay, das den Opfern eine gefälschte Microsoft-Anmeldeseite anzeigt. Wenn der Benutzer seine Anmeldedaten eingibt und die Multi-Faktor-Authentifizierung abschließt, leitet das Relay diese Eingaben an den echten Microsoft-Dienst weiter. Das Ziel ist nicht, das Passwort zu behalten, sondern das Zugriffs-Token abzufangen, das Microsoft nach einer erfolgreichen Anmeldung ausstellt.

Sobald das Token erfasst ist, spielt der Angreifer es innerhalb von Minuten von seiner eigenen Infrastruktur aus erneut ein. Huntress bezeichnet dieses Muster als „Token Spraying“, da viele gestohlene Tokens skaliert über mehrere Organisationen hinweg wiederverwendet werden, ähnlich wie beim Password Spraying, bei dem ein Passwort gegen viele Konten getestet wird. Da das Token bereits die Authentifizierung belegt, muss der Angreifer die MFA während der wiederholten Sitzung nicht erneut lösen.

Die Tokens stammten aus verschiedenen Vektoren, darunter AitM-Relays hinter gefälschten Anmeldeseiten, Device-Code-Phishing-Abläufe und Social Engineering während legitimer Anmeldungen. Registrierte unberechtigte Geräte geben Angreifern einen dauerhaften Weg, neue Tokens anzufordern, selbst wenn eine gestohlene Sitzung abläuft oder widerrufen wird.

Wichtige Details

• Zeitrahmen: 14. Juli bis 22. September 2026, laut Beobachtungen von Huntress.
• Umfang: 79 betroffene Organisationen; 97 kompromittierte Konten; 497 erfolgreiche Anmeldungen aus über 200.000 Versuchen.
• Infrastruktur: Fehlgeschlagene Versuche verknüpft mit 193.26.115[.]0/24; die initiale IP 193.26.115[.]221 wird mit AsyncRAT und dem deutschen Host 1337 Services GmbH in Verbindung gebracht.
• Persistenz: Angreifer registrierten mindestens 48 unberechtigte Entra-Geräte und fügten ihre eigenen Authenticator-Apps hinzu; in 19 Organisationen wurden MFA-Methoden innerhalb von drei Stunden ersetzt.
• Umgehung: Versteckte Posteingangsregeln mit kurzen oder punktbasierten Namen löschten oder leiteten E-Mails weiter, die sich auf Gehalt, Einzahlung und Bonus bezogen.
• Hinweise zur Abschwächung: Sitzungen widerrufen, Passwörter zurücksetzen, Entra-Geräte und MFA-Methoden prüfen, Posteingangsregeln und Enterprise-Apps überprüfen sowie Device-Code-Abläufe über Conditional Access einschränken.

Warum es wichtig ist

Für Teams, die Microsoft 365 verwalten, zeigt diese Kampagne, dass starke MFA allein die Kontoübernahme möglicherweise nicht verhindern kann, wenn Tokens abgefangen und erneut eingesetzt werden. Der Angriff umgeht den üblichen zweiten Faktor durch die Wiederverwendung eines gültigen Login-Nachweis-Tokens und festigt dann den Zugriff durch die Registrierung neuer Geräte und Authenticatoren. Diese Kombination erschwert die Erkennung und verlängert das Fenster für Datendiebstahl oder Missbrauch.

Die operative Auswirkung ist unmittelbar: Kompromittierte Postfächer können durch heimliche Regeln stummgeschaltet werden, finanzielle Kommunikation kann verschwinden und ausgehender Spam kann den Ruf des Absenders schädigen. Da unberechtigte Geräte im Verzeichnis bestehen bleiben, bis sie manuell entfernt werden, erfordert die Bereinigung eine sorgfältige Prüfung der Entra-Registrierungen, MFA-Einschreibungen und bedingten Richtlinien, anstatt nur Passwörter zurückzusetzen.

Was Sie tun können

• Aktive Sitzungen widerrufen und Passwörter für verdächtige Konten zurücksetzen, dann erneute Authentifizierung erzwingen.
• Entra-Geräteregistrierungen prüfen und unbekannte oder verdächtige Einträge entfernen, einschließlich kürzlich hinzugefügter Computer.
• MFA-Methoden für betroffene Benutzer überprüfen und unbekannte Authenticator-Apps oder Telefonnummern entfernen.
• Nach unerwarteten Posteingangsregeln mit kurzen oder ungewöhnlichen Namen suchen und auf Weiterleitungen von E-Mails in obskure Ordner prüfen.
• Device-Code-Authentifizierungsabläufe über Conditional-Access-Richtlinien einschränken, um das Risiko von AitM und Phishing zu reduzieren.
• Conditional Access breit anwenden: MFA erforderlich machen oder Zugriff für alle Benutzer, alle Cloud-Apps und alle Client-App-Typen blockieren.