Sicherheitsforscher sind auf eine Infektion von Microsoft 365-Tenants gestoßen, wo Angreifer (mutmaßlich chinesische Hacker) sich über einen Zeitraum von 18 Monaten unerkannt in der Microsoft 365-Cloud von Firmen und einem Managed Service Provider (MSP) festsetzen konnten.
Ich bin bereits von einer Woche über nachfolgenden Tweet auf den Sachverhalt gestoßen, der von International Business Times im Artikel Chinese Threat Group Hid Inside Microsoft 365 Networks for 18 Months Using Secret Malware Arsenal vom 6. Juni 2026 dokumentiert wurde.
Die als UNC5221, auch als VerdantBamboo, bezeichneten, mutmaßlich chinesischen, Hacker nutzten Malware wie Brickstorm-Backdoor, Plenet/.NET-Backdoor und AgentPSD, kombiniert mit Living-off-the-Land-Techniken und gestohlenen Zugangsdaten, um Conditional Access zu umgehen und über kompromittierte Firewallslangfristig Zugang zu den Netzwerken der Opfer und zu einem Managed Service Provider (MSP) zu verschaffen, ohne dabei entdeckt zu werden.
Den Angreifern gelang es, mindestens 18 Monate lang unentdeckt in Microsoft 365-Netzwerken und bei einem Managed Service Provider aufzuhalten. Die Entdeckung erfolgte durch Volexity bei einer Incident Response an US-Unternehmen wie Kanzleien und SaaS-Anbietern. Der Vorfall zeigt die hohe Raffinesse chinesischer APTs bei der Persistenz in Cloud-Umgebungen.
UNC5221 wird seit mindestens 2023 mit Cyberspionagekampagnen in Verbindung gebracht und ist dafür bekannt, Zero-Day-Schwachstellen in mit dem Internet verbundenen Systemen auszunutzen.
Google hatte bereits im April 2024 und erneut im September 2025 den Einsatz von Brickstorm durch die Gruppe UNC5221 dokumentiert und die Aktivitäten mit Angriffen gegen Anwaltskanzleien, Software-as-a-Service-Anbieter, Unternehmen für Business Process Outsourcing und Technologieunternehmen in Verbindung gebracht.
Angreifer erlangten nach der Absicherung der Systeme erneut Zugriff darau. Die Untersuchung von Volexity begann nach einen Vorfall, bei dem ein Egnyte Storage Sync-System kompromittiert wurde. Berichten zufolge nutzten die Angreifer den Zugriff über das Web-SSL-VPN des Opfers und setzten die Proxy-Funktionen von Brickstorm sowie gestohlene Anmeldedaten ein, um in die Microsoft 365-Umgebung des Unternehmens vorzudringen.
"Volexity geht mit hoher Sicherheit davon aus, dass dies geschah, um sich in den legitimen Netzwerkverkehr einzufügen und Richtlinien für den bedingten Zugriff zu umgehen, die den Zugriff andernfalls verhindert hätten", so die Forscher. Die Untersuchung ergab später, dass die Angreifer seit mindestens 18 Monaten im Netzwerk aktiv waren. Selbst nachdem die Abhilfemaßnahmen abgeschlossen waren, gelang es dem Angreifer, das Unternehmen erneut zu kompromittieren. Weitere Details lassen sich hier nachlesen.
MVP: 2013 – 2016
Liest man den verlinkten Artikel *ttps://www.ibtimes.sg/chinese-threat-group-hid-inside-microsoft-365-networks-18-months-using-secret-malware-arsenal-87516 wird klar, dass der 1. Angriffsvektor nicht MS365-Tenants waren/sind, sondern man hatte Zugriff zum "internal network" (z.B. über VPN).
Damit fallen Schutzmaßnahmen wie Conditional access policies weg.
Jetzt noch mit Golden-SAML ein Global-Admin-Token gestohlen, und schon ist man mit allen Rechten im MS-365-Tenant.
Aber da greifen dann die Conditional Access rules, da kannst doch einiges machen, wie Geo IP, kommt von einem Hybriden Gerät, nur aus lokalen IP Netzen, dann noch PIM mit erneuter MFA Abfrage bei Rollen Request oder sogar mit Genehmigung bei Rollen Request usw usw …
@Phadda: Unterstellt der Angreifer hat sich auf einem Client im internen Netz eingenistet, dann greifen wichtige Teil der Conditional Access Policies doch nicht:
Der gekaperte Client ist z.B. hybrid joined. er befindet sich im lokalen LAN, das in der Location freigegeben ist, die App z.B. Entral-Portal-Zugriff ist freigegeben.
Was natürlich nicht überwunden werden kann, ist Privileged Access Request, MFA per Yubikey.
Wer also mal im internen Netz ist, hat schon hohe Vorteile.
Von der Überschrift des Blog-Artikels her hatte ich erwartet, dass die Angreifer den MS365-Tenant direkt gehackt hatten. Dem ist aber nicht so.
also man weiß nicht, wer sich aktuell noch wo im M365 Kosmos bewegt, richtig?
Seit dem Hack vor einigen Jahren weiß man das nicht!
Microsoft weiß ja bis heute nicht, wie damals die Hacker in deren Cloud eingedrungen sind.
Ob das Pentagon MS-Clouddienste wieder nutzt?
So pauschal ist das schlicht falsch. Zu den damaligen Vorfällen gibt es umfangreiche Analysen und veröffentlichte Erkenntnisse. Bitte keine unbelegten Behauptungen in den Raum stellen.
Pauschale Aussagen sind immer schwierig, da gehe ich mit konform. Ja, es gibt Analysen und Veröffentlichungen Microsofts, die auch hier im Blog thematisiert wurden. Aber es gibt oder gab auch Stimmen mit der Aussage, dass Microsoft eben nicht so genau weiß, wie das alles passieren konnte (es blieben zu viele Fragen offen). Daher sollte das jetzt nicht vertieft werden. Den zweiten Kommentar als Antwort auf Martin B. habe ich daher als nicht zielführend für die Diskussion gelöscht.
@Günter: Ich schreibe seit langer Zeit mit dem Alias MaxM und der Dir bekannten Email-Adresse. Obiger MaxM bin nicht ich.
Kannst Du den Namen bitte abändern?
Kannst Du nicht auf die Kombination Name UND E-Mail-Adresse prüfen? Meine Email-Adresse kennt ja der obige, andere MaxM nicht Sonst bringt der Zwang zum Namen keine Klarheit, sondern stiftet genauso Verwirrung wie die hunderte Anonym-Personen.
Wo genau sind vollständige Analyse, Erkenntnisse und Belege für Deine Behauptung, dass Microsoft genau weiss, wie damals Hacker in deren Cloud eingedrungen sind?
nicht drüber nachdenken. einfach weiter nutzen. wird schon nichts passieren.*scnr*
Oder in anderen Umgebungen :-)
Die Information ist wichtig, aber IOCs wären hilfreich, damit man seinen eigenen Tenant mal gegenchecken kann.