{"id":326539,"date":"2026-06-17T11:39:05","date_gmt":"2026-06-17T09:39:05","guid":{"rendered":"https:\/\/borncity.com\/blog\/?p=326539"},"modified":"2026-06-17T12:31:43","modified_gmt":"2026-06-17T10:31:43","slug":"eviltokens-passwort-lose-oauth-2-0-angriffe-auf-microsoft-login-seiten","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2026\/06\/17\/eviltokens-passwort-lose-oauth-2-0-angriffe-auf-microsoft-login-seiten\/","title":{"rendered":"EvilTokens: Passwort-lose OAuth 2.0-Angriffe auf Microsoft-Login-Seiten"},"content":{"rendered":"<p><img decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" title=\"Cloud (Quelle: Pexels, free Verwendung)\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2021\/05\/Cloud-Symbol.jpg\" width=\"200\" align=\"left\" \/>Es gibt ein Phishing-as-a-Service (PhaaS)-Kit namens EvilTokens. Dieses wurde entwickelt und wird angeboten, um Microsoft 365-Konten zu kompromittieren. EvilTokens\u00a0 missbraucht den OAuth 2.0-Autorisierungsablauf f\u00fcr Ger\u00e4te. Da hilft auch keine 2FA-Absicherung mehr, wenn der Nutzer sich \u00fcberrumpeln l\u00e4sst.<\/p>\n<p><!--more--><\/p>\n<p><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/vg07.met.vgwort.de\/na\/f00109424fd549239ac10c6cfd91363e\" alt=\"\" width=\"1\" height=\"1\" \/>Das Thema muss bereits seit Februar 2026 seine Kreise ziehen und wurde auf diversen Webseiten angesprochen (siehe <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/new-eviltokens-service-fuels-microsoft-device-code-phishing-attacks\/\" target=\"_blank\" rel=\"noopener\">diesen Artike<\/a>l von Bleeping Computer vom 1. Mai 2026). Blog-Leser Thomas Bittner hatte mich die Tage auf einen aktuellen Bericht <a href=\"https:\/\/www.n-tv.de\/technik\/Brandgefaehrliche-Phishing-Attacken-nutzen-echte-Microsoft-Anmeldung-id30971566.html\" target=\"_blank\" rel=\"noopener\">Brandgef\u00e4hrliche Phishing-Attacken nutzen echte Microsoft-Anmeldung<\/a>auf n-tv zum Thema hingewiesen (danke daf\u00fcr).<\/p>\n<p><a href=\"https:\/\/www.welivesecurity.com\/en\/cybercrime\/eviltokens-phishing-doesnt-steal-password\/\" target=\"_blank\" rel=\"noopener\"><img loading=\"lazy\" decoding=\"async\" class=\"alignnone size-full wp-image-326540\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2026\/06\/EvilTokens.jpg\" alt=\"EvilTokens\" width=\"590\" height=\"297\" srcset=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2026\/06\/EvilTokens.jpg 590w, https:\/\/borncity.com\/blog\/wp-content\/uploads\/2026\/06\/EvilTokens-300x151.jpg 300w\" sizes=\"auto, (max-width: 590px) 100vw, 590px\" \/><\/a><\/p>\n<p>Das Thema ist auch in obigem Tweet angesprochen und ESET behandelt dieses im Blog-Beitrag\u00a0<a href=\"https:\/\/www.welivesecurity.com\/en\/cybercrime\/eviltokens-phishing-doesnt-steal-password\/\" target=\"_blank\" rel=\"noopener\">EvilTokens: A phishing attack that doesn't steal your password<\/a> vom 15. Juni 2026.<\/p>\n<h2>Phishing-Kit EvilTokens zielt auf Microsoft-Konten<\/h2>\n<p>Die absolut komprimierte Kurzfassung lautet: Das Phishing-Kit EvilTokens unterl\u00e4uft den legitimen Authentifizierungsprozess der Microsoft-Anmeldeseite. Das Kit erm\u00f6glicht Angreifern, sich Zugang zu Konten zu verschaffen, ohne Passw\u00f6rter zu stehlen oder gef\u00e4lschte Anmeldeseiten zu erstellen. Die Vorgehensweise der Angreifer ist einerseits ziemlich raffiniert, aber andererseits wiederum sehr simpel:<\/p>\n<ul>\n<li>In einer Erkundungsphase pr\u00fcfen die Angreifer, ob ein Microsoft-Konto aktiv ist und versuchen m\u00f6glichst viele Informationen \u00fcber den Konteninhaber herauszufinden. Microsoft hat festgestellt, dass diese Erkundungsphase 10 bis 15 Tage vor dem eigentlichen Phishing-Versuch stattfindet.<\/li>\n<li>Dann erh\u00e4lt das Opfer eine E-Mail oder Nachricht, die oft als Rechnung, geteiltes Dokument, Kalendereinladung oder SharePoint-Zugriffsanfrage getarnt ist. Der K\u00f6der besteht aus einer verlinkten T\u00e4uschungsseite, die sich als vertrauensw\u00fcrdige Marke oder Dienst ausgibt. Kombiniert wird dies mit einfachen Formulierungen wie \"Zum Anzeigen best\u00e4tigen\" oder \"Unterschrift erforderlich\" in der Nachricht, um das Opfer zu einer Aktion zu verleiten.<\/li>\n<li>Klickt das Opfer auf diesen K\u00f6der, fordert die \u00fcber den Link aktivierte die Phishing-Seite einen Ger\u00e4tecode von Microsoft an. Der Code ist nur 15 Minuten lang g\u00fcltig, daher sind Zeit und Timing hier entscheidend.<\/li>\n<li>Die Phishing-Seite zeigt dem Opfer den Code an und leitet die Person auch zum echten Anmeldeportal von Microsoft unter <em>microsoft.com\/devicelogin<\/em> weiter. Allerdings schl\u00e4gt nun die Falle zu, da der vom Opfer dort eingegebene Code die Sitzung des Angreifers autorisiert.<\/li>\n<\/ul>\n<p>Da eine g\u00fcltige Anmeldung best\u00e4tigt wird, stellt Microsoft Zugriffs- und Aktualisierungstoken f\u00fcr die vom Angreifer er\u00f6ffnete Sitzung aus. Das Opfer hat \u00fcber diesen Vorgang unwissentlich das Ger\u00e4t des Angreifers autorisiert. Die Kriminellen erhalten so Zugriff auf das Konto und k\u00f6nnen auf Unternehmens-E-Mails, Dateien, Teams, SharePoint, OneDrive und andere Microsoft 365-Ressourcen des betreffenden Kontos zugreifen. Sie k\u00f6nnen anschlie\u00dfend Daten von diesen Ressourcen abziehen oder BEC-Angriffe vorbereiten. Aus diesem Grund stehen laut ESET Konten aus den Bereichen Finanzen, Personalwesen, Logistik und Vertrieb besonders im Fokus der Angreifer.<\/p>\n<h2>Angriffe laufen seit Jahresanfang 2026<\/h2>\n<p>Das Toolkit wurde \u00fcber Telegram-Kan\u00e4le in Kreisen von Cyberkriminellen beworben und ist seit mindestens Februar 2026 in aktiven Angriffen gesichtet worden. ESET listet in seinem Beitrag Artikel aus den letzten Monaten zu EvilTokens-Angriffen auf.<\/p>\n<ul>\n<li>Sicherheitsforscher der franz\u00f6sischen Cybersecurity-Firma Sekoia haben die erste Kampagne im Februar 2026 entdeckt und <a href=\"https:\/\/blog.sekoia.io\/eviltokens-an-ai-augmented-phishing-as-a-service-for-automating-bec-fraud-part-2\/\" target=\"_blank\" rel=\"noopener\">hier beschrieben<\/a>.<\/li>\n<li>Huntress gab bereits <a href=\"https:\/\/www.huntress.com\/blog\/railway-paas-m365-token-replay-campaign\" target=\"_blank\" rel=\"noopener\">im M\u00e4rz 2026<\/a> bekannt, dass Angriffe auf \u00fcber 340 Organisationen in den USA, Kanada, Australien und Deutschland festgestellt wurden.<\/li>\n<li>Der Sicherheitsspezialist Push Security hat dann <a href=\"https:\/\/pushsecurity.com\/blog\/device-code-phishing\/\" target=\"_blank\" rel=\"noopener\">im April 2026<\/a> eine 37-Fache Steigerung der seit Jahresanfang beobachteten Zahl der Kampagnen festgestellt.<\/li>\n<\/ul>\n<p>Die oben verlinkte Warnung des\u00a0slowakische Sicherheitsunternehmen ESET vor der Kampagne ist der aktuellste Beitrag zum Thema.<\/p>\n<h2>Die Gefahr und die Gegenma\u00dfnahmen<\/h2>\n<p>Die Gefahr liegt laut ESET darin, dass das Kit den f\u00fcr Ger\u00e4te (Drucker, Smart-TVs, Scanner), bei denen eine direkte Anmeldung schwierig sein kann, entwickelten OAuth-Ger\u00e4tecode-Ablauf gezielt missbraucht. F\u00fcr diese Ger\u00e4te zeigen bei der Einbindung in ein Microsoft-Netzwerk den kurzen Authorisierungs-Code an. Der Benutzer muss diesen dann im Rahmen einer Zweifaktor-Authentifizierung (2FA) auf einem anderen Ger\u00e4t \u2013 h\u00e4ufig einem Smartphone \u2013 \u00fcber eine Microsoft-Seite eingeben, um die Ger\u00e4teanmeldung zu best\u00e4tigen.<\/p>\n<p>Microsoft stellt anschlie\u00dfend Zugriffstoken f\u00fcr das Ger\u00e4t aus, das den Zugriff angefordert hat. Dieses erh\u00e4lt so dauerhaften Zugriff auf das zugeordnete Microsoft-Konto. In obigem Szenario erhalten die Angreifer so ein Token, welches dauerhaften Zugriff auf das Konto erm\u00f6glicht.<\/p>\n<p>ESET gibt Unternehmen in seinem Beitrag einige Hinweise, wie man das Risiko, Opfer eines EvilTokens-Angriffs zu werden, minimieren kann. Das f\u00e4ngt mit Aufmerksamkeit der Anwender an und reicht bis hin zu Ma\u00dfnahmen der IT-Administratoren.<\/p>\n<ul>\n<li>Anwender sollten\u00a0jede unerwartete Anfrage nach einem Authentifizierungscode als verd\u00e4chtig betrachten. Kein Dokument, keine Rechnung, keine E-Mail und keine andere Plattform sollte ohne triftigen Grund nach einem Ger\u00e4tecode fragen. Kommt eine solche Anfrage aus heiterem Himmel, sollte die der IT- oder Sicherheitsabteilung des Arbeitgebers gemeldet werden.<\/li>\n<li>Der Kontext ist wichtiger als die zuf\u00e4llig angezeigte (Phishing-)Seite. Bevor eine Anmeldeanfrage genehmiget wird, ist zu pr\u00fcfen, welche App Zugriff anfordert, um welches Konto es sich handelt und ob der Vorgang tats\u00e4chlich selbst gestartet wurde. Die echte Microsoft-Seite zur Eingabe des Codes macht eine Anfrage nicht automatisch sicher.<\/li>\n<li>Unternehmen bzw. die IT-Administratoren sollten die Verwendung von Ger\u00e4tecodes dort, wo dies nicht ben\u00f6tigt wird, g\u00e4nzlich einschr\u00e4nken. Microsoft empfiehlt die Anwendung von Richtlinien f\u00fcr den bedingten Zugriff, um die Verwendung von Ger\u00e4tecodes auf bestimmte Benutzer, Ger\u00e4te, Standorte oder Betriebssysteme zu beschr\u00e4nken und dort zu blockieren, wo das nicht erforderlich ist.<\/li>\n<li>IT-Administratoren sollten bei den Tenants auf ungew\u00f6hnliche Authentifizierungen per Ger\u00e4tecode, unbekannte Ger\u00e4te, riskante Anmeldungen, verd\u00e4chtige Token-Nutzung und neue Posteingangsregeln achten. All dies kann auf Probleme hindeuten, schreibt ESET.<\/li>\n<li>Unternehmen sollten Schulungen anbieten, um Mitarbeiter in Sicherheitsfragen zu sensibilisieren und bez\u00fcglich der neuesten Tricks der Angreifer fit zu halten. Es ist wichtig, dass Mitarbeiter verstehen, dass moderne Phishing-Angriffe nicht immer darin bestehen, ein Passwort auf einer gef\u00e4lschten Webseite anzufordern. Manchmal k\u00f6nnte der Angreifer sie auffordern, einen echten Code auf einer echten Seite einzugeben \u2013 allerdings f\u00fcr das falsche Ger\u00e4t.<\/li>\n<\/ul>\n<p>Wichtig ist, dass\u00a0Mitarbeiter, die eine unerwartete Anfrage nach einem Ger\u00e4tecode erhalten, wissen, dass sie umgehend die IT- oder Sicherheitsteams ihres Unternehmens benachrichtigen sollten. Diese Teams m\u00fcssen m\u00f6glicherweise die Anmeldeprotokolle \u00fcberpr\u00fcfen, Sitzungen widerrufen, Aktualisierungstoken ung\u00fcltig machen, b\u00f6sartige Posteingangsregeln entfernen und das kompromittierte Konto vor\u00fcbergehend deaktivieren. EvilTokens zeigt erneut, dass Angreifer immer trickreicher agieren und Unternehmen auf diese Entwicklung reagieren m\u00fcssen.<\/p>\n<h2>Phishing trotz FIDO<\/h2>\n<p>Ich verlinke auch mal ein altes Thema, auf das mich ein Blog-Leser vor geraumer Zeit hingewiesen hat. Im Beitrag\u00a0<a href=\"https:\/\/denniskniep.github.io\/posts\/09-device-code-phishing\/\" target=\"_blank\" rel=\"noopener\">Phishing despite FIDO, leveraging a novel technique based on the Device Code Flow<\/a> von Sept. 2025 beschreibt Dennis Kniep, wie Phishing-Angriff trotz FIDO-Absicherung funktionieren, indem eine neuartige Technik auf Basis des \"Device Code Flow\" missbraucht wird.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Es gibt ein Phishing-as-a-Service (PhaaS)-Kit namens EvilTokens. Dieses wurde entwickelt und wird angeboten, um Microsoft 365-Konten zu kompromittieren. EvilTokens\u00a0 missbraucht den OAuth 2.0-Autorisierungsablauf f\u00fcr Ger\u00e4te. Da hilft auch keine 2FA-Absicherung mehr, wenn der Nutzer sich \u00fcberrumpeln l\u00e4sst.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[7263,731,908,426],"tags":[1171,4338,672,4328],"class_list":["post-326539","post","type-post","status-publish","format-standard","hentry","category-cloud","category-gerate","category-internet","category-sicherheit","tag-cloud","tag-internet","tag-microsoft","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/326539","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=326539"}],"version-history":[{"count":5,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/326539\/revisions"}],"predecessor-version":[{"id":326545,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/326539\/revisions\/326545"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=326539"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=326539"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=326539"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}