Auch Multifaktor-Authentifizierung von Schwachstellen bedroht

Social-Engineering-Angriffe könnten Cyber-Kriminellen helfen, die Mehrfaktor-Authentifizierung zu umgehen

[datensicherheit.de, 18.10.2023] Seit der flächendeckenden Einführung der Multifaktor-Authentifizierung (MFA) in einer Reihe von Unternehmen und IT-Produkten sowie Portalen häuften sich Vorfälle, bei denen die Maßnahmen umgangen werden. Angreifer hätten sich mittlerweile darauf spezialisiert, mit mehreren Authentifizierungsstufen umzugehen, meldet KnowBe4 und warnt: „Es ist zunehmend üblich, dass Angreifer QR-Codes oder Bilder verwenden, um Opfer in die Irre zu führen. In den Betreffzeilen von Phishing-E-Mails wird oft der Name bekannter Marken oder Unternehmen missbraucht, um die Aufmerksamkeit zu erregen“, so Dr. Martin J. Krämer, „Security Awareness Advocate“ bei KnowBe4, in seiner aktuellen Stellungnahme.

Foto: KnowBe4

Dr. Martin J. Krämer: Mitarbeiter aus allen Abteilungen sollten lernen, Social-Engineering-Taktiken zu erkennen!

Verbreitete Methoden zum Angriff auf die Multifaktor-Authentifizierung:

• Bilder anstelle von Text
• QR-Codes anstelle von infizierten Links und Anhängen
• Zufallsgenerierung von „Absender“-Namen und E-Mail sowie Verschlüsselung mit SHA-256
• Manipulation von Betreffzeilen zur Verfälschung von Authentifizierungsdaten (SPF, DKIM, …)

Auf diese oder ähnliche Weise überlisten demnach Angreifer vorhandene Filter und andere technische Schutzmaßnahmen, so dass Phishing-E-Mails im Posteingang der Mitarbeiter landen.

Absicht, Mehrfaktor-Authentifizierungsfaktoren hoch privilegierter Benutzer zurückzusetzen

Im September 2023 habe der Anbieter von Identitäts- und Authentifizierungsmanagement Okta vor Social-Engineering-Angriffen gewarnt, „die die Mehrfaktor-Authentifizierung umgehen“. Diese Angriffe zielten auf IT-Mitarbeiter ab und versuchten, Administratorrechte zu erlangen, um Unternehmensnetzwerke zu infiltrieren und zu übernehmen.

Dr. Krämer führt aus: „Mehrere Unternehmen in den USA waren von wiederholten Social-Engineering-Angriffen auf IT-Service-Desk-Mitarbeiter betroffen. Bei diesen Angriffen versuchten die Angreifer, die Mitarbeiter des Service-Desks dazu zu bringen, alle Mehrfaktor-Authentifizierungsfaktoren (MFA), die von hoch privilegierten Benutzern eingerichtet wurden, zurückzusetzen.“

Nachdem die hoch privilegierten Okta-Superadministrator-Konten kompromittiert gewesen seien, schienen die Angreifer diese Situation auszunutzen, „um legitime Identitätsföderationsfunktionen zu missbrauchen“. Dadurch hätten sie sich innerhalb der infiltrierten Organisation als berechtigte Benutzer ausgeben können.

Sensibilisierung für Sicherheitsfragen, bevor Mehrfaktor-Authentifizierung kompromittiert wird

Nach Angaben des MFA-Anbieters hätten die Angreifer bereits über einige Informationen über die Zielorganisationen verfügt, „bevor sie die IT-Mitarbeiter kontaktierten“. Es scheine, dass sie entweder im Besitz von Passwörtern für privilegierte Benutzerkonten sind oder die Fähigkeit besitzen, den Authentifizierungsfluss über das „Active Directory“ zu beeinflussen.

„Dies tun sie, bevor sie den IT-Service-Desk einer Zielorganisation kontaktieren und das Zurücksetzen sämtlicher MFA-Faktoren des Zielkontos anfordern“, so Dr. Krämer. Bei den betroffenen Unternehmen hätten sie es speziell auf Nutzer mit Superadministrator-Rechten abgesehen. Darüber hinaus hätten sie sich außerdem mit einer gefälschten App als ein anderer Identitätsmanagement-Anbieter ausgegeben.

Eine wirksame Methode, um das eigene Unternehmen trotz kompromittierter MFA zu schützen, seien Schulungen zur Sensibilisierung für Sicherheitsfragen. Dr. Krämer erläutert abschließend: „Mitarbeiter aus allen Abteilungen können dadurch lernen, Social-Engineering-Taktiken zu erkennen und sich vor zielgerichteten Angriffen auf ihre Konten, sei es per E-Mail, in Teams-Chats oder in sozialen Medien, zu schützen.“

Weitere Informationen zum Thema:

KnowBe4
Multi-Factor Authentication Defined