Die Sicherheitsexperten von Arctic Wolf Labs haben eine weitreichende Cyber-Kampagne aufgedeckt, die gezielt auf Microsoft 365-Konten in zahlreichen Branchen ansetzt. Das als „Payroll Pirates“ bezeichnete Vorgehen nutzt sogenannte Adversary-in-the-Middle-Methoden (AitM), um Zugriff auf sensible Finanz- und Gehaltsdaten zu erlangen. Die Angreifer setzen dabei auf eine komplexe Infrastruktur, um herkömmliche Sicherheitsmechanismen zu umgehen und dauerhaften Zugriff auf Unternehmenskonten zu behalten.
Technischer Ablauf und Einsatz von Residential Proxys
Der Kern der Strategie liegt laut dem Bericht von Arctic Wolf Labs im Einsatz von AitM-Proxys. Diese fungieren als Zwischenstation zwischen dem echten Anmeldedienst von Microsoft und dem Opfer. Durch diesen Aufbau sind die Angreifer in der Lage, Authentifizierungstoken in Echtzeit abzugreifen. Besonders hervorzuheben ist die Nutzung von Residential Proxys. Diese Technik verschleiert den Ursprung des Angriffs, da der Datenverkehr über IP-Adressen geleitet wird, die gewöhnlichen privaten Internetanschlüssen zugeordnet sind. Dies erschwert es automatisierten Sicherheitssystemen, die bösartigen Anmeldeversuche als solche zu identifizieren.
Ein weiteres Merkmal der Kampagne ist die Persistenz der Angriffe. Die Experten beobachteten, dass die Sitzungen alle 8 Stunden aufrechterhalten werden. Dieser Rhythmus deutet auf eine automatisierte Steuerung hin, die darauf ausgelegt ist, den Zugriff auch über längere Zeiträume stabil zu halten, ohne dass eine erneute Interaktion des Nutzers erforderlich ist.
Angriffe wie die der „Payroll Pirates“ zeigen, wie wichtig ein fundiertes Verständnis aktueller IT-Sicherheitsrisiken für Unternehmen heute ist. Dieses kostenlose E-Book liefert wertvolle Einblicke in moderne Bedrohungsszenarien und zeigt praxisnahe Wege auf, wie Sie Ihren Betrieb proaktiv absichern können. IT-Sicherheits-Report für Unternehmen jetzt gratis herunterladen
Mehrstufige Redirect-Kette mit legitimen Diensten
Die Initialzündung der Angriffe erfolgt meist über Phishing-E-Mails, die das Thema Voicemails vortäuschen. Um die Entdeckung durch E-Mail-Filter zu vermeiden, nutzen die Akteure eine mehrstufige Weiterleitungskette. Der Pfad führt die Opfer über verschiedene legitime Plattformen wie Google Meet, Google Ads und AWS S3, bevor sie schließlich auf dem eigentlichen AitM-Proxy landen.
Bevor die Zielperson die finale Phishing-Seite erreicht, findet zudem ein sogenanntes Fingerprinting statt. Dabei werden technische Informationen über das Endgerät des Opfers gesammelt, um den Angriff individuell anzupassen oder Sicherheitsforscher auszusortieren. Das primäre Ziel nach der erfolgreichen Kaperung des Kontos ist der Zugriff auf E-Mails mit Bezug zu Finanztransaktionen und Gehaltsabrechnungen.
Da herkömmliche Schutzmaßnahmen bei raffinierten Phishing-Methoden oft versagen, rückt die Prävention durch gezielte Aufklärung in den Fokus. Ein spezialisiertes Anti-Phishing-Paket unterstützt Organisationen dabei, die psychologischen Taktiken der Angreifer zu durchschauen und die interne Abwehr effektiv zu stärken. Kostenloses Anti-Phishing-Paket für Unternehmen anfordern
Betroffene Branchen und globale Reichweite
Die Untersuchung von Arctic Wolf Labs zeigt, dass die Kampagne bereits seit Juli 2026 verfolgt wird. In diesem Zeitraum waren bereits Hunderte von Organisationen betroffen. Die Angreifer agieren dabei geografisch breit gefächert und nehmen Ziele in den USA, Kanada sowie in Europa ins Visier.
Hinsichtlich der betroffenen Sektoren gibt es kaum Einschränkungen. Dokumentiert sind Vorfälle im Gesundheitswesen, im Bildungswesen und in der Fertigungsindustrie. Ebenso gerieten Regierungseinrichtungen und professionelle Dienstleister in den Fokus der „Payroll Pirates“. Die Analyse der Taktiken, Techniken und Prozeduren (TTPs) ergab zudem deutliche Überschneidungen mit der Bedrohungsgruppe Storm-2755, was auf eine Verbindung oder eine Nutzung ähnlicher Infrastrukturen hindeutet.
Unternehmen wird angesichts dieser Entwicklungen geraten, ihre Sicherheitsvorkehrungen für Cloud-Umgebungen zu überprüfen. Insbesondere die Überwachung von Sitzungsanomalien und die Sensibilisierung der Mitarbeiter für komplexe Weiterleitungsketten in E-Mails stehen dabei im Vordergrund, da herkömmliche Multifaktor-Authentifizierungen durch die AitM-Methode unterlaufen werden können.
