Gefälschte OpenAI- und SpaceX-Events: Phishing-Kampagne greift Microsoft- und Google-Konten an

Als Köder dienen kostenlose Zugänge zu Premium-KI-Diensten und andere Belohnungen. Eine Phishing-Seite wirbt für eine OpenAI-Veranstaltung mit dem Titel „ChatGPT für Social- und Digital-Marketing-Teams" und verspricht den Teilnehmern drei Monate ChatGPT Pro. Eine weitere kündigt ein privates SpaceX-Event am 12. November an und stellt wahlweise drei Monate Grok Heavy oder einen „SpaceX-Anteil" in Aussicht. Zudem fanden die Forscher eine Seite, die eine Anthropic-Veranstaltung auf der AWS re:Invent 2026 imitierte; diese war bereits abgeschaltet.

Wie die Phishing-Links ursprünglich verteilt werden, ist unklar. Push Security stellte fest, dass die Opfer über Links vertrauenswürdiger Dienste — darunter die URL-Kürzer von Google und Zapier — auf die gefälschten Anmeldeseiten umgeleitet werden. Einladungen aus früheren Varianten der Kampagne wurden über die E-Mail-Systeme von GoTo Webinar oder über legitime Zoom-Event-Seiten verbreitet.

Für den Bau der gefälschten Event-Seiten nutzen die Angreifer laut Push Security zwei eigene Phishing-Kits, die unter den Bezeichnungen ZoomMock und MSDRoot geführt werden. Da beide dieselbe Infrastruktur und dieselbe Zielauswahl verwenden, gehen die Forscher davon aus, dass dieselben Akteure hinter beiden Kits stehen.

Bevor die Registrierungsseite erscheint, zeigen die Webseiten ein Cloudflare-CAPTCHA mit der Aufforderung „Bestätigen Sie, dass Sie kein Roboter sind". Das verhindert, dass automatisierte Sicherheitsplattformen die Phishing-Seite scannen. Auf der Anmeldeseite werden den Besuchern anschließend zwei Optionen angeboten: „Weiter mit Microsoft" und „Weiter mit Google". Die Seiten erklären, man müsse sich mit dem Arbeitskonto anmelden, um sich zu registrieren und die beworbenen Prämien zu erhalten.

Wählt das Opfer die Microsoft-Option, kontaktiert die Phishing-Seite die Plattform Kali365, um einen Microsoft-Geräteauthentifizierungscode zu erzeugen. Bei einem Device-Code-Phishing-Angriff missbrauchen Angreifer den legitimen Device-Authorization-Grant-Ablauf von OAuth 2.0, um Authentifizierungstoken für das Microsoft-Entra-Konto des Opfers zu erlangen. Damit lässt sich anschließend auf die Ressourcen des Nutzers und auf angebundene SSO-Anwendungen zugreifen, etwa Microsoft 365, Salesforce, Google Workspace, Dropbox, Adobe, SAP, Slack, Zendesk oder Atlassian. In der Vergangenheit wurde Device-Code-Phishing bereits für Datendiebstahl und Cyberspionage eingesetzt.

Das Opfer wird angewiesen, den Code zu kopieren und auf der legitimen Microsoft-Seite für Geräteanmeldungen einzugeben, sich dort zu authentifizieren und die Anfrage zu bestätigen. Auf diesem Weg erbeutet Kali365 Microsoft-Authentifizierungstoken, ohne dass das Opfer sein Passwort direkt preisgeben muss. Nach erfolgreicher Device-Code-Authentifizierung leitet die Seite das Opfer zusätzlich auf eine VoidProxy-Anmeldeseite für Microsoft weiter, auf der die Angreifer auch Passwort und Sitzungs-Cookie abgreifen können.

Entscheidet sich das Opfer für die Google-Option, öffnet die Phishing-Seite ein Pop-up mit einer Google-Anmeldemaske aus der VoidProxy-Plattform. Diese arbeitet als Adversary-in-the-Middle-Dienst zwischen Browser und Google-Login, leitet die Anmeldeformulare durch und stiehlt Zugangsdaten, MFA-Antworten und Sitzungs-Cookies.

Beide Plattformen ermöglichen es, die Mehrfaktor-Authentifizierung zu umgehen: entweder durch Übernahme einer bereits authentifizierten Sitzung oder — im Fall der Device-Code-Authentifizierung — durch vollständiges Umgehen der MFA.

Die Kampagne folgt auf eine ähnliche Aktion, die ANY.RUN im Juli dokumentierte. Damals missbrauchten Angreifer legitime Zoom-Event-Seiten, um gefälschte Veranstaltungen von Meta, OpenAI und Anthropic zu bewerben, die ebenfalls zu Device-Code- und AiTM-Phishing führten. Cofense berichtete zudem kürzlich über Phishing-Mails mit gefälschten Anthropic-Event-Einladungen, die über die E-Mail-Infrastruktur von GoTo Webinar verschickt wurden und die Empfänger über mehrere Webseiten zu gefälschten Registrierungsseiten weiterleiteten.

Als Schutzmaßnahmen empfiehlt Push Security, keine Microsoft-Geräteauthentifizierungscodes einzugeben, die von unbekannten Webseiten stammen, und bei Event-Einladungen misstrauisch zu sein, die eine Anmeldung mit dem Firmenkonto zum Einlösen von Prämien verlangen. Organisationen können darüber hinaus die Device-Code-Authentifizierung dort einschränken, wo sie nicht benötigt wird, und phishing-resistente MFA wie FIDO2-Sicherheitsschlüssel einsetzen, um Session-Hijacking zu verhindern.