Kampagne zum Sammeln von Anmeldedaten für das OneDrive der Universität

Kampagnenübersicht

Das Mimecast Threat Research-Team hat eine Aktion zum Diebstahl von Anmeldedaten identifiziert, die sich gegen Mitarbeiter und Lehrkräfte an Universitäten und Hochschulen für Gesundheitswissenschaften in Australien und den Vereinigten Staaten richtet. Die Kampagne nutzt ein Modell, das auf vertrauenswürdigen Diensten basiert: Die Nachrichten stammen aus einer OneDrive-Dateifreigabe-Benachrichtigung mit dem Anzeigenamen „Jesse Lee“, während der tatsächliche SMTP-Absender ein einzelnes privates Outlook-Konto (outlook_024EE0F96AD209F4@outlook.com) ist.

Jede Angriffswelle nutzt ein institutionsspezifisches Köderdokument, das auf demselben, vom Angreifer kontrollierten persönlichen OneDrive-Tenant (024ee0f96ad209f4) gehostet wird. Die Dokumente tragen das Branding der Zielinstitution und weisen die Empfänger an, einen Link zu öffnen, der als gesichertes SharePoint-Dokument präsentiert wird. Durch Anklicken des Links werden die Opfer über die Umleitungsinfrastruktur des Angreifers geleitet, bevor ihnen eine sehr realistisch gestaltete Microsoft-Anmeldeseite auf einer Nicht-Microsoft-Domain angezeigt wird.

Das Volumen bleibt relativ gering, was eher auf eine gezielte oder halb-gezielte Operation als auf Massen-Spam hindeutet. Die Kampagne erstreckt sich jedoch über mehrere Institutionen, verwendet denselben Absender und dasselbe OneDrive-Konto und weist Anzeichen für die Einfügung von Listen-Metadaten in den Benachrichtigungstext auf.

Ablauf der Kampagne

Phase 1: E-Mail mit OneDrive-Freigabebenachrichtigung

Die Empfänger erhalten eine Nachricht, die der Standardvorlage von Microsoft für OneDrive-Freigaben entspricht. Die Betreffzeile folgt dem Muster „Jesse Lee hat ‚‘ mit Ihnen geteilt“. Der Nachrichtentext verweist auf ein Word-Dokument, das nach der Zielinstitution benannt ist.

Der Text der Benachrichtigung enthält eine zweite Beschreibungszeile (z. B. „MSPAS, PA-C, Programmdirektor, hat Ihnen eine Datei gesendet“), die auf die jeweilige Empfängergruppe zugeschnitten zu sein scheint.

 

                                                   [Abbildung 1: Benachrichtigung über die Freigabe in OneDrive]

Phase 2: OneDrive-Dokument im Design der Einrichtung

Das Anklicken des Freigabelinks öffnet ein Word-Dokument auf onedrive.live.com unter dem persönlichen Konto des Angreifers. Das Dokument zeigt das Logo der Zielinstitution und gibt an, dass die Organisation ein gesichertes Dokument über Microsoft SharePoint freigegeben hat. Ein auffälliger Hyperlink mit der Aufschrift „DOKUMENT ÖFFNEN“ enthält die Weiterleitungskette zum Abgreifen von Anmeldedaten.

  [Abbildung 2: Köderdokument mit dem Branding der Einrichtung, gehostet auf dem OneDrive-Konto des Angreifers 024ee0f96ad209f4]

Phase 3: Weiterleitung über zmact[.]us

Der eingebettete Link verweist auf zmact[.]us mit Abfrageparametern wie tenantKey=WG0SL5 und einer gefälschten returnUrl, die auf /connect/authorize/callback mit client_id=Portal verweist. Der Weiterleitungsserver sendet einen HTTP-302-Status an den endgültigen Phishing-Host zurück. 

Phase 4: Cloudflare-Challenge auf loq[.]broadpath[.]us

Die Opfer werden an loq.broadpath[.]us weitergeleitet, wo eine von Cloudflare verwaltete Sicherheitsabfrage angezeigt wird („Sicherheitsüberprüfung wird durchgeführt“). Diese Ebene filtert automatisierte Scanner und Sandboxen heraus, bevor die Seite zur Eingabe der Anmeldedaten angezeigt wird.

[Abbildung 3: Cloudflare-Verifizierungsseite auf loq.broadpath.us]

Phase 5: Gefälschte Microsoft 365-Anmeldung

Nach Bestehen der Sicherheitsüberprüfung gelangen die Opfer auf eine Autorisierungsseite im Microsoft-OAuth-Stil, die auf loq.broadpath[.]us unter dem Pfad /common/oauth2/v2.0/authorize gehostet wird. Die Seite ahmt die Entra-ID-Anmeldung nach und verwendet Parameter, die mit AiTM-ähnlichen Kits zum Abfangen von Anmeldedaten und Tokens übereinstimmen.

 

                                [Abbildung 4: Seite zum Erfassen von Anmeldedaten auf einer Nicht-Microsoft-Domain]

Umfang und Zeitrahmen

Mimecast beobachtete Aktivitäten über einen Zeitraum von fünf Tagen (20.–24. Juni 2026), wobei sich die Übermittlungen auf drei Tage konzentrierten:

Alle beobachteten Wellen stammen von derselben Absenderadresse. Jede Einrichtung wird mit einem eigenen Köderdokument auf dem gemeinsam genutzten OneDrive-Konto angegriffen, das in kurzen Schüben (Minuten pro Welle) statt als anhaltender Spam mit hohem Volumen versendet wird.

Maßgeschneiderte Metadaten der Benachrichtigungen

Während die SMTP-Nachrichten von einem einzigen Outlook-Konto stammen, variiert der sichtbare Text der Freigabebenachrichtigungen. Sekundäre Beschreibungszeilen (z. B. Titel von Programmleitern) scheinen auf die jeweilige Empfängergruppe zugeschnitten zu sein und stimmen mit den aus Verzeichnissen gesammelten Metadaten überein, die in die OneDrive-Benachrichtigungsvorlage eingefügt wurden.

Technische Analyse

Wiederverwendung des OneDrive-Kontos

Alle Köderdokumente weisen dieselbe persönliche OneDrive-Kennung „024ee0f96ad209f4“ auf, die mit der in der Absenderadresse eingebetteten Hexadezimalzeichenfolge übereinstimmt.

Indikatoren für das Phishing-Kit

• Redirector-Parameter „tenantKey=WG0SL5“ auf zmact[.]us
• Die „returnUrl“ im OAuth-Stil wurde so gefälscht, dass sie dem Callback des Entra-ID-Portals ähnelt (client_id=Portal, response_type=id_token, scope=openid)
• Der endgültige Host stellt unter /common/oauth2/v2.0/authorize auf der Infrastruktur des Angreifers bereit
• Von Cloudflare verwaltete Challenge auf dem Redirector

Mimecast-Schutz

Mimecast hat Attribute identifiziert, die mit dieser Kampagne in Verbindung stehen, darunter der Missbrauch vertrauenswürdiger Dienste, die Redirector-Infrastruktur sowie OAuth-Path-Phishing auf Nicht-Microsoft-Domains. Das Threat-Research-Team überwacht weiterhin die Cluster zmact[.]us und broadpath[.]us auf neue Köderdokumente, Zielinstitutionen und Infrastrukturrotationen.

Ziele:

Indikatoren für Kompromittierung (IOCs)

 

Empfehlungen

Schulungen zur Sensibilisierung der Benutzer

• Schulen Sie die Mitarbeiter darin, unaufgeforderte OneDrive-Freigabebenachrichtigungen als nicht vertrauenswürdig zu behandeln, bis die tatsächliche Absenderadresse überprüft wurde
• Betonen Sie, dass legitime Dokumentenfreigaben der Universität von Domänen der Organisation stammen und nicht von privaten @outlook.com-Konten
• Weisen Sie die Benutzer an, nach dem Klicken auf Dokument-Links die Adressleiste des Browsers zu überprüfen; die Microsoft-Anmeldung muss auf login.microsoftonline.com erfolgen
• Warnung des Hochschulpersonals in den Bereichen Personalbeschaffung, Doktorandenbetreuung, Pflegeverwaltung, Sport und Gesundheitswissenschaften als vorrangige Zielgruppen

Proaktive Bedrohungssuche

• Durchsuchen Sie E-Mail-Protokolle nach Nachrichten von outlook_024EE0F96AD209F4@outlook[.]com oder Betreffzeilen, die mit „Jesse Lee shared“ übereinstimmen
• Durchsuchen Sie Web-Proxy- und DNS-Protokolle nach „zmact[.]us“, „broadpath[.]us“ und OAuth-Pfaden auf Nicht-Microsoft-Hosts
• Überprüfen Sie die Entra-ID-Anmeldeprotokolle auf anomale Authentifizierungen, an denen loq[.]broadpath[.]us beteiligt ist, oder auf fehlgeschlagene „GetCredentialType“-Abfragen von IP-Adressen außerhalb des Campus

Fazit

Diese Kampagne veranschaulicht, wie Betreiber, die sich auf das Sammeln von Anmeldedaten spezialisiert haben, vertrauenswürdige Cloud-Dateifreigaben, Köder im Stil der jeweiligen Einrichtung und programmspezifische Ziellisten kombinieren, um E-Mail-Postfächer von Universitäten in geringem Umfang zu kompromittieren. Sicherheitsteams im Hochschulbereich sollten Benachrichtigungen über die Freigabe von Dateien in Verbraucher-Clouds als hochriskanten Angriffsvektor betrachten und der Erkennung sowohl in der E-Mail-Phase als auch in der Phase nach dem Klick Priorität einräumen.