Luna Moth greift Anwaltskanzleien seit mindestens Mitte 2023 an. Joseph Keyes, Analyst für Cyber Threat Intelligence bei ReliaQuest, hält es für „wahrscheinlich“, dass die neue Angriffswelle Kanzleien trifft, die die erste Erpressungsforderung nicht bezahlt haben. Der zweite Angriff folgt demnach Wochen bis Monate nach dem ersten. Ein Sprecher von ReliaQuest erklärte, die Gruppe wisse, dass sich diese Organisationen mit Social Engineering täuschen lassen. Deshalb versuche sie es mit anderen Taktiken erneut, um einen zweiten Datensatz zu erbeuten. Weil immer weniger Organisationen zahlen, seien Kanzleien ein lohnendes Ziel: Ihre Mandantendaten seien äußerst sensibel und der Imageschaden bei einer Veröffentlichung gravierend. Deshalb lohne es sich, mehrfach Druck auszuüben.

In früheren Varianten des Angriffs meldete sich Luna Moth als IT-Support und brachte die Opfer dazu, eine Verbindung über das in Windows eingebaute Fernunterstützungswerkzeug herzustellen. Anschließend lud die Gruppe die Daten direkt herunter. Die neue Kampagne läuft in mehreren Schritten ab:

  • Von einer kostenlosen E-Mail-Adresse geht eine Nachricht ohne Betreff mit einem defekten PDF ein, das als Geschäftsbericht getarnt ist und sich nicht öffnen lässt.
  • Kurz darauf meldet sich der Angreifer als IT-Support, der angeblich auf eine Warnmeldung zu Schadsoftware reagiert, und bietet zugleich an, das PDF zu reparieren.
  • In einem Videoanruf soll das Opfer seinen Bildschirm teilen, damit der vermeintliche Support es durch eine „Reparatur“ führen kann.
  • Das Opfer soll Microsoft Copilot im Webbrowser seines Arbeitslaptops öffnen, die Entwicklertools des Browsers aufrufen, die Anfrage von Copilot an Microsoft Graph suchen und das Zugriffstoken der Anwendung kopieren.
  • Das Token soll das Opfer auf einer öffentlichen Textplattform einfügen, auf die der Angreifer Zugriff hat.
  • Der Angreifer nutzt das Token schließlich, um Dateien über die Microsoft Graph API herunterzuladen.

Das Token funktioniert dabei wie ein Generalschlüssel zur Organisation. Dass ein angeblicher IT-Support ein technisches Problem „beheben“ will, erinnert an ClickFix: Beide Techniken nutzen aus, dass Menschen Probleme lösen wollen.

ReliaQuest sieht in dem Angriff ein Beispiel dafür, wie lückenhaft Sicherheitskontrollen in Organisationen oft zugeschnitten sind. Weil das Token für das konforme Gerät des Opfers ausgestellt und „freiwillig“ übergeben wird, schlagen keine Sicherheitsmechanismen an. „Ein Token ist ein Bearer-Credential und funktioniert daher von überall, bis es abläuft. Ausnahmen sind CAE (Continuous Access Evaluation) mit strikter Standortprüfung oder Token-Bindung“, sagte der Sprecher. „Wie beim Device-Code-Phishing durchläuft der Nutzer einen legitimen Ablauf, die Multi-Faktor-Authentifizierung ist also erfüllt. Die Schwachstelle ist die Annahme, dass eine Authentifizierung dauerhaftes Vertrauen bedeutet.“ Die Standardeinstellungen von Microsoft erleichterten den Angriff: Tokens sind 60 bis 90 Minuten gültig, und CAE wird standardmäßig nicht erzwungen.

ReliaQuest empfiehlt Organisationen,

  • CAE standardmäßig zu aktivieren,
  • in verwalteten Browsern die Entwicklertools und Seiten zur Token-Inspektion zu sperren,
  • Fernwartungs- und Bildschirmfreigabewerkzeuge einzuschränken, wo sie geschäftlich nicht nötig sind,
  • Beschäftigte über die Methoden aufzuklären, mit denen Angreifer Zugangsdaten stehlen wollen.

Nutzer sollten wissen, dass die IT-Abteilung niemals nach Entwicklertools oder Tokens fragt, und Anfragen der IT durch einen Rückruf überprüfen.