Phishing-Kampagne nutzt Microsoft-Cloud-Ausfall

Der Cloud-Dienste-Ausfall von Microsoft ab Donnerstag dieser Woche ruft nun auch Kriminelle auf den Plan. Sie nutzen den Trubel, um Opfer für Phishing-Kampagnen zu finden.

Davor warnt Microsofts Threat-Intelligence-Team auf Bluesky. Demnach imitieren die Phishing-Nachrichten Statusmeldungen zu Diensten von Microsoft 365 und beziehen sich dabei auch auf den Exchange-Online-Vorfall mit der ID EX1550543. Einige dieser gefälschten Nachrichten, die Microsoft am Freitag entdeckt hat, behaupten, während des Ausfalls seien Nachrichten zurückgehalten worden. Diese würden innerhalb von 24 Stunden gelöscht, falls Empfänger sie nicht per Klick auf den Link wiederherstellten.

Die Betreffzeilen haben oft als Muster „Outage – [sechs Zeichen langer Code]“, wobei die Anzeigenamen der Absender aus organisationsspezifischen Präfixen bestehen, gefolgt von „Outage Notification“ oder „Service Health“. Die Kampagne nutzt laut Microsoft drei Absenderdomains: moments-notice[.]com, planetmaison[.]com und newbooker[.]com. Die empfängerspezifischen SendGrid-Klick-Tracking-Links leiten auf reallifeaccounting[.]com weiter, einschließlich des beobachteten Pfads „/themelist0.html“. Ähnliche Nachrichten richteten sich an Organisationen aus verschiedenen Branchen in den USA. Das Schema stimmt mit üblichem Zugangsdaten-Phishing überein, Microsofts IT-Sicherheitsforscher konnten bislang jedoch weder das Abgreifen von Zugangsdaten noch das Ausliefern von Malware bestätigen.

Anti-Malware-Software soll schützen

Laut Microsoft blockiert Microsoft Defender die in der Kampagne genutzten Domains. Microsoft Defender for Office 365 blockiert derartige E-Mails und verschiebt sie in Quarantäne. Admins sollten zudem ihre Safe-Links-Richtlinien prüfen und Meldungen über Störungen ausschließlich im Microsoft 365 Admin Center überprüfen.

Microsoft kämpfte ab Donnerstag frühabends teils bis Samstag mit einem weltweiten Ausfall diverser Cloud-Systeme wie Exchange Online oder Teams. Ursache war ein Fehler, der bei einem Upgrade der Netzwerkkapazität entstand und sich erst nach jüngsten Netzwerkänderungen auswirkte. Eine Cyberattacke oder KI-Aktivität schloss Microsoft als Ursache aus.