Forg365 PhaaS: Microsoft 365 im Visier mit Device-Code & …

Die neue PhaaS-Plattform Forg365 kombiniert Device-Code-Phishing und AitM-Angriffe gegen Microsoft 365. Wir erklären die Methode und wie Sie sich schützen.

Was ist Forg365?

Ein neuer Phishing-as-a-Service-Dienst namens Forg365 sorgt für Unruhe. Er richtet sich gezielt gegen Microsoft 365-Konten. Das Besondere: Er vereint gleich mehrere Angriffstechniken. Dazu gehören Device-Code-Phishing, Adversary-in-the-Middle (AitM)-Taktiken, Antibot-Umgehung, KI-gestützte Köder und Post-Kompromittierungs-Aktionen im Postfach.

Der Dienst wird über Telegram vertrieben. Die Kosten: 400 Dollar pro Monat oder 3.800 Dollar im Jahr. Das klingt nach einem teuren Hobby, doch für professionelle Cyberkriminelle ist das eine lohnende Investition.

So funktioniert der Angriff

Die Angriffskette beginnt mit einer Phishing-E-Mail. Sie enthält einen Link zu einer gefälschten Anmeldeseite. Doch hier kommt der Trick: Statt eines normalen Passwort-Felds wird der Device-Code-Fluss genutzt. Das Opfer wird aufgefordert, einen Code auf der offiziellen Microsoft-Seite einzugeben. Dadurch wird die Sitzung gestohlen – selbst wenn die Zwei-Faktor-Authentifizierung aktiviert ist.

Dann kommt die AitM-Komponente zum Einsatz. Der Angreifer positioniert sich zwischen dem Opfer und Microsoft. So kann er nicht nur die Anmeldedaten abgreifen, sondern auch die gesamte Sitzung übernehmen. Und das in Echtzeit.

KI erstellt die Köder

Ein weiterer Punkt: Forg365 nutzt künstliche Intelligenz, um überzeugende Phishing-Nachrichten zu generieren. Die KI analysiert öffentliche Informationen über das Zielunternehmen. Dann schreibt sie personalisierte E-Mails, die kaum von echten zu unterscheiden sind. Das erhöht die Erfolgsquote enorm.

Post-Kompromittierung: Der Diebstahl geht weiter

Ist das Konto erst einmal übernommen, beginnt die zweite Phase. Die Angreifer durchsuchen das Postfach nach sensiblen Daten. Sie leiten E-Mails weiter, setzen Regeln für automatische Weiterleitungen und installieren Hintertüren. So bleibt der Zugriff auch nach einem Passwortwechsel bestehen.

Wer ist betroffen?

Die Kampagne richtet sich vor allem gegen Unternehmen, die Microsoft 365 nutzen. Das sind Millionen weltweit. Besonders gefährdet sind kleine und mittlere Betriebe, die oft keine spezialisierten Sicherheitsteams haben. Aber auch große Konzerne sind nicht immun.

Die Frage ist nicht, ob Sie angegriffen werden, sondern wann. Klingt dramatisch? Ist es auch. Die Bedrohungslage hat sich in den letzten Jahren massiv verschärft. Und mit Diensten wie Forg365 wird der Einstieg für Angreifer immer einfacher.

Wie schützen Sie sich?

Sie können etwas tun. Erstens: Schulen Sie Ihre Mitarbeiter. Ein gesundes Misstrauen gegenüber unerwarteten E-Mails ist Gold wert. Zweitens: Aktivieren Sie bedingte Zugriffsrichtlinien in Azure AD. Blockieren Sie den Device-Code-Fluss, wenn er nicht unbedingt nötig ist. Drittens: Nutzen Sie moderne Authentifizierungsmethoden wie passwortlose Anmeldung oder FIDO2-Sicherheitsschlüssel.

Viertens: Überwachen Sie Ihre Umgebung auf ungewöhnliche Anmeldungen. Tools wie Microsoft Defender for Identity helfen dabei. Fünftens: Erstellen Sie einen Notfallplan für den Fall einer Kompromittierung. Denn es geht nicht darum, ob, sondern wann ein Angriff passiert.

Fazit: Eine neue Stufe der Bedrohung

Forg365 ist kein gewöhnlicher Phishing-Dienst. Er kombiniert modernste Techniken zu einer gefährlichen Waffe. Der Device-Code-Fluss macht selbst die Zwei-Faktor-Authentifizierung zunichte. Die KI erstellt personalisierte Köder. Und die Post-Kompromittierung stellt sicher, dass der Angreifer lange Zugriff behält.

Sie sollten jetzt handeln. Warten Sie nicht, bis Ihr Unternehmen betroffen ist. Die Sicherheit Ihrer Daten hängt davon ab. Und vergessen Sie nicht: Cybersicherheit ist kein einmaliges Projekt, sondern ein fortlaufender Prozess.