Cyberangriff auf 80.000 Microsoft Entra-ID-Konten: Was IT-Sicherheits-Verantwortliche jetzt wissen müssen

Bei der UNK_SneakyStrike-Kampagne handelt es sich um einen ausgeklügelten und groß angelegten Cyberangriff, bei dem Microsoft Entra ID-Umgebungen (früher Azure AD) mithilfe des Pentesting-Tools TeamFiltration ausgenutzt wurden.

Überblick zur Cyberkampagne UNK_SneakyStrike

Die Aktivitäten wurden vom Threat Research Team von Proofpoint entdeckt und unter dem Namen UNK_SneakyStrike veröffentlicht. Die Cyberkampagne ist seit Dezember 2024 aktiv und erreichte ihren Höhepunkt im Januar 2025. Betroffen sind weltweit über 80.000 Microsoft Entra-ID-Konten von mehr als 100 Unternehmen. Die Angreifer missbrauchten das frei verfügbare und weit verbreitete Open-Source-Framework für Penetrationstests, namens TeamFiltration, um sich unbefugten Zugriff auf Benutzerkonten zu verschaffen.

Missbrauch von TeamFiltration

Ursprünglich auf der DEF CON 30 veröffentlicht, ist TeamFiltration ein Tool, um Penetrationstests durchzuführen, das für folgende Aktionen missbraucht wurde:

• Account Enumeration: identifiziert gültige Benutzernamen über die Microsoft Teams API
• Password-Spraying: versucht sich mit gängigen Passwörter bei Benutzerkonten anzumelden
• Daten-Exfiltration: Extrahiert E-Mails, Dateien und sensible Daten
• Persistenz-Mechanismen: Nutzt OneDrive, um bösartige Dateien hochzuladen, die legitime Dateien imitieren und so ein erneutes Eindringen und weitere Aktionen ermöglichen

Vorgehen und Taktiken der Angreifer

Die Angreifer sind in fünf Schritten vorgegangen:

1. Reconnaissance

Die Angreifer nutzten Microsoft Teams APIs, um gültige Benutzernamen zu ermitteln. Hierfür wurden unter anderem temporäre Office Accounts verwendet, um eine Entdeckung zu vermeiden.

2. Initial Access

Die Passwort-Spraying-Angriffe wurden über die AWS-Infrastruktur gestartet. Die Angreifer verwendeten dabei wechselnde IPs von verschiedenen Regionen (USA, Irland, Großbritannien), um die Ratenbegrenzung und die Entdeckung zu umgehen.

3. Exploitation

Nach dem Zugang verwendeten die Angreifer OAuth-Refresh-Tokens, um einen dauerhaften Zugriff zu behalten. Sie griffen auf Microsoft 365 Services wie Outlook, OneDrive, Teams und OneNote zu.

4. Persistence & Lateral Movement

In OneDrive wurden schädliche Dateien hochgeladen und als legitime Dokumente getarnt. Diese Dateien können Macros oder Schadsoftware enthalten, um einen erneuten Zugriff zu erhalten.

5. Exfiltration

Sensible Daten wurden extrahiert und wahrscheinlich verkauft oder für andere Angriffe verwendet.

Geografische und branchenspezifische Auswirkungen

Es gibt keine spezifische regionale Aufschlüsselung, jedoch führte die intensive Nutzung von Microsoft 365 im Nahen Osten und in Afrika zu Compliance-Bedenken. Vermutlich stehen Finanzdienstleistungen, Regierungsbehörden und IT-Unternehmen prominenter im Fokus.