Auf den Punkt: Das PhaaS-Toolkit Greatness unterstützt jetzt Device-Code-Phishing über den OAuth-2.0-Device-Authorization-Grant und ermöglicht damit MFA-Umgehung und Kontoübernahme ohne Abfangen von Passwort oder zweitem Faktor.
Das kommerzielle Phishing-as-a-Service-Toolkit „Greatness“ unterstützt nun Device-Code-Phishing, eine Technik, die den legitimen OAuth-2.0-Device-Authorization-Grant missbraucht, um Multi-Faktor-Authentifizierung zu umgehen und Konten zu übernehmen. Damit reiht sich das Kit in eine wachsende Zahl krimineller Angebote ein, die diese Angriffsmethode aktiv vermarkten.
Greatness ist ein etabliertes, kommerziell vertriebenes Phishing-as-a-Service-Toolkit, das bislang vor allem für Adversary-in-the-Middle-Angriffe (AiTM) zum Abgreifen von Zugangsdaten bekannt war. Laut dem zugrunde liegenden Bericht hat der Betreiber nun Unterstützung für Device-Code-Phishing ergänzt. Diese Technik nutzt den OAuth-2.0-Device-Authorization-Grant, ein Verfahren, das eigentlich für Geräte ohne komfortable Eingabemöglichkeiten entwickelt wurde, etwa Smart-TVs oder IoT-Geräte, die sich über einen auf einem anderen Gerät eingegebenen Code an einem Dienst anmelden.
Beim Missbrauch dieser Funktion generieren Angreifer einen legitimen Autorisierungscode bei einem Identitätsanbieter, etwa Microsoft Entra ID, und bringen das Opfer per Social Engineering dazu, diesen Code auf einer echten Anmeldeseite einzugeben. Da die Authentifizierung technisch korrekt über den offiziellen Dienst abläuft, wird auch eine aktive MFA-Absicherung nicht durch gefälschte Login-Seiten umgangen, sondern durch das Opfer selbst freigegeben. Der Angreifer erhält im Anschluss gültige Zugriffs- und Refresh-Tokens, mit denen er sich als das kompromittierte Konto ausgeben kann, ohne dass ein Passwort oder ein zusätzlicher zweiter Faktor abgefangen werden muss.
Für Sicherheitsverantwortliche bedeutet die Integration in ein bereits im Umlauf befindliches, kommerziell verfügbares PhaaS-Kit eine Senkung der Einstiegshürde für diese Angriffstechnik. Während Device-Code-Phishing bislang eher gezielten, ressourcenstarken Angreifern zugeschrieben wurde, steht die Methode nun potenziell einem breiteren Kreis von Cyberkriminellen als gebrauchsfertiges Werkzeug zur Verfügung, ähnlich wie es bei anderen PhaaS-Toolkits mit klassischem AiTM-Credential-Phishing bereits der Fall ist.
Da klassische MFA-Faktoren wie Einmalcodes oder Push-Benachrichtigungen bei diesem Angriffsmuster wirkungslos bleiben, sollten Unternehmen prüfen, inwieweit der Device-Code-Flow in ihrer Umgebung überhaupt benötigt wird und andernfalls per Conditional-Access-Richtlinien eingeschränkt oder deaktiviert werden kann. Zusätzlich empfiehlt sich eine gezielte Überwachung von Anmeldeereignissen, die auf den Device-Authorization-Grant hinweisen, sowie Awareness-Maßnahmen, die Mitarbeitende für Aufforderungen sensibilisieren, einen Code auf einer fremden Seite oder in einer unerwarteten Situation einzugeben.
Quelle: thehackernews.com · Erschienen 4. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.