Mobile-Menu

HTTP-Client-Tools als Waffe Sind Cloud-Takeover-Angriffe eine wachsende Bedrohung?

Ein Gastbeitrag von Eilon Bendet 3 min Lesedauer

Anbieter zum Thema

Proofpoint Germany
Fsas Technologies GmbH
netfiles GmbH
Insider Research

HTTP-basierte Cloud-Accountübernahme-Angriffe (ATO: Account Takeover Attacks) sind auf dem Vormarsch. Nach neuesten Erkenntnissen von Proofpoint haben diese Angriffe erheblich zugenommen und stellen eine ernsthafte Bedrohung für Unternehmen dar. Besorgniserregend ist die zunehmende Nutzung von legitimen HTTP-Client-Tools für diese Angriffe.

Die Sicherheitsexperten von Proofpoint haben festgestellt, dass 78 Prozent der Microsoft-365-Kunden mindestens einmal von einem versuchten Account-Hijacking betroffen waren.(Bild: Blue Planet Studio - stock.adobe.com)
Die Sicherheitsexperten von Proofpoint haben festgestellt, dass 78 Prozent der Microsoft-365-Kunden mindestens einmal von einem versuchten Account-Hijacking betroffen waren.
(Bild: Blue Planet Studio - stock.adobe.com)

HTTP-Client-Tools sind Softwareanwendungen oder Bibliotheken, die zum Senden von HTTP-Anfragen und Empfangen von HTTP-Antworten von Webservern verwendet werden. Sie ermöglichen es den Benutzern, Anfragen mit verschiedenen HTTP-Methoden (z. B. GET, POST, PUT, DELETE) zu erstellen, Header anzupassen, Nutzdaten einzufügen und Serverantworten zu überprüfen. Diese Flexibilität und Funktionalität macht sie zu einem wertvollen Werkzeug für Entwickler – und für Cyberkriminelle.

Proofpoint hat einen besorgniserregenden Anstieg bei der Verwendung legitimer HTTP-Client-Tools zur Kompromittierung von Microsoft 365-Umgebungen beobachtet. Diese Tools, die ursprünglich aus öffentlichen Repositories wie GitHub stammen, werden zunehmend für Angriffe wie Adversary-in-the-Middle (AitM) und Brute-Force-Techniken verwendet, um Cloud-Konten zu übernehmen.

Aus der Vergangenheit lernen

Bereits im Jahr 2018 identifizierte Proofpoint eine weit verbreitete Kampagne, die Tausende von Organisationen weltweit betraf. Dabei nutzten Angreifer eine ungewöhnliche Version des OkHttp-Clients („okhttp/3.2.0“), um Microsoft 365-Umgebungen anzugreifen. Über dedizierte Hosting-Dienste in Kanada und den USA starteten die Angreifer rund vier Jahre lang kontinuierlich unautorisierte Zugriffsversuche, wobei sie sich auf hochrangige Ziele wie Führungskräfte und privilegierte Benutzer konzentrierten.

Die Analyse ergab, dass die Angreifer sich vorangegangene Datenverluste wie den LinkedIn-Datenleck von 2016 zunutze machten, um groß angelegte Angriffe auf Tausende von Organisationen zu starten. Die OkHttp-basierten Aktivitäten waren nur der erste Schritt einer komplexen Angriffskette. Die Kriminellen griffen auf Methoden zur Benutzerauflistung zurück, um gültige E-Mail-Adressen zu identifizieren, bevor sie andere Bedrohungsmethoden wie Spear-Phishing und Passwort-Spraying einsetzten. Die Kampagne erreichte 2021 mit Zehntausenden von Angriffen pro Monat ihren Höhepunkt, ging jedoch Ende 2021 deutlich zurück, was auf eine Änderung der Taktiken hindeutet.

Die Gegenwart im Fokus

Seit 2018 sind HTTP-Clients bei ATO-Angriffen weit verbreitet. Anfang 2024 dominierten OkHttp-Varianten, aber ab März 2024 gewannen andere HTTP-Clients an Bedeutung. In der zweiten Jahreshälfte 2024 waren 78 Prozent der Organisationen mindestens einem ATO-Versuch mit einem HTTP-Client ausgesetzt, was einem Anstieg von sieben Prozent gegenüber den vorangegangenen sechs Monaten entspricht.

Seit kurzem nutzen Cyberkriminelle vermehrt HTTP-Clients wie „python-request“ in Brute-Force-Angriffsketten, wodurch das Volumen und die Vielfalt der Bedrohungen erheblich zunahmen. Im Mai 2024 erreichten diese Angriffe ihren Höhepunkt, als Millionen von gehackten privaten IP-Adressen für Angriffe auf Cloud-Konten verwendet wurden.

Während die meisten HTTP-basierten ATO-Angriffe Brute-Force-Versuche mit geringen Erfolgsraten sind, hat Proofpoint auch effektivere Bedrohungen untersucht, wie eine aktuelle Kampagne mit dem Axios HTTP-Client, die präzises Targeting mit AitM-Techniken kombiniert. Dieser Ansatz erzielte eine durchschnittliche monatliche Erfolgsrate von 38 Prozent. Dabei gelang es den Angreifern, moderne Sicherheitsmaßnahmen wie Multi-Faktor-Authentifizierung (MFA) zu umgehen.

Neue Trends bei ATO-Angriffen

Das alles lässt darauf schließen, dass sich die Werkzeuge der Angreifer für ATO-Angriffe stark weiterentwickelt haben. Sie verwenden verschiedene HTTP-Client-Tools, um APIs auszunutzen und HTTP-Anfragen zu stellen. Angesichts dieses Trends ist es wahrscheinlich, dass Angreifer weiterhin zwischen verschiedenen HTTP-Client-Tools wechseln und ihre Strategien anpassen werden, um neue Technologien auszunutzen und einer Entdeckung zu entgehen.

Abwehrstrategien

Um sich vor diesen Bedrohungen zu schützen, sind proaktive Maßnahmen unerlässlich. Ein wichtiger Bestandteil ist die Multi-Faktor-Authentifizierung. Sie erschwert es den Angreifern erheblich, ein Konto mit gestohlenen Anmeldeinformationen zu übernehmen, auch wenn sie – wie gezeigt – keine absolute Sicherheit bietet. Ergänzend ist die Verwendung von starken, eindeutigen Passwörtern für jedes Konto in Kombination mit einem Passwort-Manager unerlässlich, um das Risiko erfolgreicher Angriffe zu minimieren.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Cloud Computing

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Da menschliche Fehler häufig ein Einfallstor für Angreifer darstellen, sind ferner regelmäßige Awareness-Schulungen für die Mitarbeiterinnen und Mitarbeiter unerlässlich. Diese Schulungen sollten die neuesten Phishing-Techniken und andere Social-Engineering-Taktiken umfassen. Darüber hinaus ist die Implementierung von Sicherheitslösungen zur Überwachung und Erkennung verdächtiger Aktivitäten, wie ungewöhnliche Anmeldeversuche oder die Erstellung verdächtiger OAuth-Anwendungen, von entscheidender Bedeutung. Regelmäßige Sicherheitsüberprüfungen helfen zudem, Schwachstellen zu identifizieren und zu beheben, bevor sie von Angreifern ausgenutzt werden können.

Darüber hinaus sollten Unternehmen Threat Intelligence nutzen, um sich über die neuesten Angriffstrends und -techniken auf dem Laufenden zu halten und ihre Sicherheitsstrategie entsprechend anzupassen. Eine weitere wichtige Maßnahme ist die Segmentierung des Netzwerks, um den Schaden im Falle eines kompromittierten Accounts zu begrenzen.

Gegenmaßnahmen kombinieren

Die Verwendung von HTTP-Client-Tools für ATO-Angriffe stellt eine wachsende Bedrohung dar. Wenn Unternehmen die Taktiken der Angreifer verstehen und robuste Sicherheitsmaßnahmen implementieren, können sie ihre Konten und Daten effektiv schützen. Die Kombination aus Technologie, Prozessen und Schulungen ist entscheidend, um die Widerstandsfähigkeit gegen ATO-Angriffe zu erhöhen und die digitale Sicherheit zu gewährleisten.

* Der Autor Eilon Bendet ist Manager Threat Research bei Proofpoint.

(ID:50348032)

Weiterführende Inhalte