In der Cybersicherheitslandschaft ist eine neue Bedrohung aufgetaucht, die durch eine raffinierte Kombination aus legitimen Diensten und technischer Manipulation auf Unternehmensdaten abzielt.
Unter dem Namen NovaCookies wird derzeit ein Phishing-as-a-Service-Kit (PhaaS) vertrieben, das Cyberkriminellen ermöglicht, authentifizierte Sitzungen von Microsoft-365-Konten zu übernehmen. Dabei machen sich die Angreifer echte Benachrichtigungen des Dienstleisters DocuSign sowie Weiterleitungen über Infrastrukturen von Microsoft und Google zunutze, um potenzielle Opfer zu täuschen.
Funktionsweise und Umgehung der Multifaktor-Authentisierung
Die Besonderheit des NovaCookies-Kits liegt in seiner technischen Umsetzung, die darauf ausgelegt ist, gängige Sicherheitsmechanismen wie die Multifaktor-Authentisierung (MFA) zu umgehen. Sicherheitsanalysten des Unternehmens Island, welche die Kampagne entdeckten, beschreiben das Kit als eine Variante der bereits bekannten Bedrohung Sneaky 2FA. Das System agiert als Proxy zwischen dem Nutzer und dem echten Login-Dienst.
Anstatt lediglich Anmeldedaten abzugreifen, leitet das Tool den gesamten Authentifizierungsvorgang in Echtzeit weiter. Sobald der Nutzer den Login-Prozess inklusive der MFA-Abfrage durchläuft, stiehlt die Software das resultierende authentifizierte Sitzungstoken.
Mit diesem Token können sich die Hintermänner Zugriff auf die Microsoft-365-Umgebung verschaffen, ohne dass eine erneute Passwort- oder Codeabfrage erforderlich ist. Die Angriffe zielen dabei nicht nur auf Microsoft-Konten ab, sondern adressieren auch gezielt Umgebungen innerhalb von Okta- und Entra-Domains.
Angesichts der zunehmenden Professionalisierung von Cyberangriffen müssen Unternehmen ihre Abwehrmechanismen kontinuierlich anpassen. Dieses kostenlose E-Book liefert fundierte Informationen zu aktuellen Bedrohungen und zeigt, wie Sie Ihre IT-Sicherheit auch ohne hohe Investitionen effektiv stärken können. Gratis-E-Book: Cyber-Sicherheit proaktiv verbessern
Globaler Aktionsradius und professionelle Infrastruktur
Die Drahtzieher hinter NovaCookies agieren mit einer beachtlichen Infrastruktur. Aktuelle Untersuchungen identifizierten mindestens 755 Domains, die dem Phishing-Netzwerk zugeordnet werden können. Über 50 % dieser Domains sind in den USA registriert.
Das PhaaS-Modell wird in kriminellen Foren professionell vermarktet: Ein Abonnement für die Nutzung des Kits kostet laut Berichten 320 US-Dollar pro Monat. Für kurzfristige Kampagnen wird zudem ein Zugang für 200 US-Dollar für einen Zeitraum von 14 Tagen angeboten.
Die Kampagnen richten sich gegen hunderte Organisationen weltweit. Ein besonderer Schwerpunkt der Angriffe liegt auf westlichen Märkten und strategisch bedeutenden Regionen. Neben den USA, Kanada und dem Vereinigten Königreich zählen auch Deutschland, Israel und die Vereinigten Arabischen Emirate zu den primären Zielgebieten der aktuellen Angriffswelle.
Da Phishing-Angriffe wie NovaCookies gezielt auf die Manipulation von Mitarbeitern setzen, ist eine fundierte Aufklärung innerhalb der Organisation unerlässlich. Ein kostenloser Leitfaden unterstützt Firmen dabei, psychologische Taktiken der Hacker zu entlarven und in vier Schritten eine wirksame Abwehr aufzubauen. Anti-Phishing-Paket für Unternehmen kostenlos anfordern
Empfohlene Schutzmaßnahmen für Organisationen
Angesichts der Effektivität von NovaCookies beim Umgehen herkömmlicher MFA-Verfahren raten Experten zu erweiterten Sicherheitsstrategien. IT-Sicherheitsfachleute betonen die Bedeutung von FIDO-basierten Authentifizierungsmethoden, die resistenter gegen derartige Proxy-Angriffe sind. Zudem wird empfohlen, Prozesse für den schnellen Widerruf von Sitzungstoken zu etablieren, falls Unregelmäßigkeiten in den Log-Daten auftreten.
Ein Experte des SANS Institute empfahl zudem eine strikte Überprüfung der Administratorrechte innerhalb der Entra ID. Da die Angreifer durch den Sitzungsdiebstahl weitreichende Befugnisse innerhalb der Cloud-Infrastruktur erlangen können, sei eine Überwachung und Limitierung privilegierter Konten eine wesentliche Hürde zur Schadensbegrenzung.
