Auf den Punkt: Angreifer können mit OAuth-Client-ID-Spoofing Microsoft Entra Benutzkonten enumerieren und Credentials validieren, ohne dass klassische Anmeldeversuche geloggt werden.
Mindestens zwei Bedrohungsakteure nutzen eine Evasionsmethode namens OAuth-Client-ID-Spoofing in Cloud-Angriffen, um gestohlene Credentials in Microsoft Entra ID zu validieren, ohne dabei Anmeldeereignisse auszulösen, die Defender alarmieren würden.
Die Technik nutzt eine Schwachstelle in der Legitimationsprüfung: Attacken validieren gestohlene Anmeldedaten gegen Microsoft Entra ID, ohne dabei einen erfolgreichen oder fehlgeschlagenen Anmelde-Event zu erzeugen, der normalerweise in Telemetrie-Systemen sichtbar würde. Dies ermöglicht es, Benutzerkonten zu identifizieren und Credentials zu testen, während die typischen Detektionskanäle (fehlgeschlagene Anmeldeversuche, verdächtige Anmeldemuster) stumm bleiben.
Der Ansatz ist besonders gefährlich, weil Defender auf solche Standard-Indikatoren abstellen: häufige Authentifizierungsfehler, verdächtige Anmeldequellen oder ungewöhnliche Geräteprofile. Wenn diese Signale ausbleiben, wird die Aktivität nicht als Angriff erkannt — die Credentials sind validiert und bereit für einen echten Einbruch, bevor die Defensive reagieren kann.
Als CISO bedeutet das: Klassische Telemetrie auf Anmeldebasis reicht nicht aus. Notwendig sind erweiterte Kontrollmechanismen wie bedingter Zugriff (Conditional Access), risikobasierte Authentifizierung und Monitoring auf API-Ebene, um OAuth-Flows und Client-ID-Anomalien zu erfassen — noch bevor eine tatsächliche Anmeldung stattfindet.
Quelle: thehackernews.com · Erschienen 14. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.