Spoofing mit Originalmails?
Hallo zusammen,
wir haben folgende Problematik.
Wir setzen M365 (Exchange online) ein mit dem Outlook-Desktop Client (nicht new). Ausnahmslos aktuelle Windows 11 Installationen. Alles Clients inkl. Software sind up-to-date. Im Netzwerk setzen wir keine Mailserver ein. Einige Kollegen aus dem Team arbeiten auch über OWA.
MFA ist für die User aktiviert.
Ein Freigegebenes Postfach team@abc.com wird von 4 Personen aktiv benutzt. Diese Personen haben read and manage permissions sowie sand as permissions.
Die abc.com-Domäne ist bei einem externen Provider. SPF, DKIM und DMARC ist eingerichtet und funktionieren.
Die direkte Anmeldung an team@abc.om ist seit Anfang 2022 geblockt. Der Zugriff kann ausschließlich über die Members erfolgen.
team@abc.com schickt eine Mail. Diese Mail kommt beim Kunden an. Nach ca. 60 Sekunden treffen 3 identische Mails beim Kunden ein - aber von einer Gmail-Adresse. Der Inhalt ist komplett identisch. Die Syntax ist team.abc.com@gmail.com.
Ein "normales" Spoofing ist mir durchaus bewusst, bei dem eine beliebige Mail augenscheinlich von einer ähnlichen Adresse kommt, die einen echten Eindruck macht.
Ich habe sämtliche Konten auf irgendwelche Regeln geprüft. Sogar die Regeln im Nachrichtenfluss habe ich überprüft. team@abc.com besitzt keinerlei Regeln (habe das Konto zur Anmeldung freigegeben und die Regeln überprüft), auch im Konto selbst wird nichts weitergeleitet.
Wenn ich das Tracelog von team@abc.com durchschaue, ist kein Eintrag zu finden, wo wir an gmail senden.
Es geht sogar noch weiter
team@abc.com schickt eine Mail an Kunde 1 mit einem Angebot in PDF-Form in Höhe von 74521,23 € raus. Kommt auch an. Einige Zeit später kommt aber eine Mail mit einer Rechnung von der "Fake"-Gmail-Adresse an Kunde B mit einem PDF mit exakt dem gleichen Betrag von Angebot A.
Es ist nicht bei allen Kontakten so. Bisher haben wir 4 Kunden ausgemacht, bei denen das so ist. (ja, ich habe versucht mit der IT von denen Kontakt aufzunehmen).
Ich kann mir einfach nicht erklären, wo der Eingriff erfolgt/e. Ich komme immer wieder zurück, dass beim Empfänger was passiert.
Ich kann mir auch nicht vorstellen, dass unserer Rechner "irgendwie" befallen sind, weil es scheinbar nur team@abc.com betrifft (bisher), dennoch würde ich die Rechner neu aufsetzen. Aber was kann ich/man noch machen?
wir haben folgende Problematik.
Wir setzen M365 (Exchange online) ein mit dem Outlook-Desktop Client (nicht new). Ausnahmslos aktuelle Windows 11 Installationen. Alles Clients inkl. Software sind up-to-date. Im Netzwerk setzen wir keine Mailserver ein. Einige Kollegen aus dem Team arbeiten auch über OWA.
MFA ist für die User aktiviert.
Ein Freigegebenes Postfach team@abc.com wird von 4 Personen aktiv benutzt. Diese Personen haben read and manage permissions sowie sand as permissions.
Die abc.com-Domäne ist bei einem externen Provider. SPF, DKIM und DMARC ist eingerichtet und funktionieren.
Die direkte Anmeldung an team@abc.om ist seit Anfang 2022 geblockt. Der Zugriff kann ausschließlich über die Members erfolgen.
team@abc.com schickt eine Mail. Diese Mail kommt beim Kunden an. Nach ca. 60 Sekunden treffen 3 identische Mails beim Kunden ein - aber von einer Gmail-Adresse. Der Inhalt ist komplett identisch. Die Syntax ist team.abc.com@gmail.com.
Ein "normales" Spoofing ist mir durchaus bewusst, bei dem eine beliebige Mail augenscheinlich von einer ähnlichen Adresse kommt, die einen echten Eindruck macht.
Ich habe sämtliche Konten auf irgendwelche Regeln geprüft. Sogar die Regeln im Nachrichtenfluss habe ich überprüft. team@abc.com besitzt keinerlei Regeln (habe das Konto zur Anmeldung freigegeben und die Regeln überprüft), auch im Konto selbst wird nichts weitergeleitet.
Wenn ich das Tracelog von team@abc.com durchschaue, ist kein Eintrag zu finden, wo wir an gmail senden.
Es geht sogar noch weiter
team@abc.com schickt eine Mail an Kunde 1 mit einem Angebot in PDF-Form in Höhe von 74521,23 € raus. Kommt auch an. Einige Zeit später kommt aber eine Mail mit einer Rechnung von der "Fake"-Gmail-Adresse an Kunde B mit einem PDF mit exakt dem gleichen Betrag von Angebot A.
Es ist nicht bei allen Kontakten so. Bisher haben wir 4 Kunden ausgemacht, bei denen das so ist. (ja, ich habe versucht mit der IT von denen Kontakt aufzunehmen).
Ich kann mir einfach nicht erklären, wo der Eingriff erfolgt/e. Ich komme immer wieder zurück, dass beim Empfänger was passiert.
Ich kann mir auch nicht vorstellen, dass unserer Rechner "irgendwie" befallen sind, weil es scheinbar nur team@abc.com betrifft (bisher), dennoch würde ich die Rechner neu aufsetzen. Aber was kann ich/man noch machen?
Please also mark the comments that contributed to the solution of the article
Content-ID: 670615
Url: https://administrator.de/forum/spoofing-mit-originalmails-670615.html
Printed on: January 14, 2025 at 06:01 o'clock
29 Comments
Latest comment
team@abc.com schickt eine Mail an Kunde 1 mit einem Angebot in PDF-Form in Höhe von 74521,23 € raus. Kommt auch an. Einige Zeit später kommt aber eine Mail mit einer Rechnung von der "Fake"-Gmail-Adresse an Kunde B mit einem PDF mit exakt dem gleichen Betrag von Angebot A.
Ist da nur der Beitrag gleich und ein geändertes Angebot oder ist es dasselbe PDF?
Was sagt der externe Provider dazu?
Also greift da manuell jemand bewusst ein. Passiert ja nicht bei allen Mails, sondern gezielt.
Ich bin da bei einem Strafantrag. Das von @SlainteMhath mal machen, aber auch den externen Provider konfrontieren.
Auf die Schnelle würde ich jetzt mal die Mailadresse stilllegen und Zugriffe außerhalb der Firma unterbinden.
Da ist natürlich auch ein Problem, dass man der Datenschutzbehörde melden werden muss. Für mich hört sich das nach schützenswerten Daten an, wenn da Kundendaten mit im Spiel sind.
Ich bin da bei einem Strafantrag. Das von @SlainteMhath mal machen, aber auch den externen Provider konfrontieren.
Auf die Schnelle würde ich jetzt mal die Mailadresse stilllegen und Zugriffe außerhalb der Firma unterbinden.
Da ist natürlich auch ein Problem, dass man der Datenschutzbehörde melden werden muss. Für mich hört sich das nach schützenswerten Daten an, wenn da Kundendaten mit im Spiel sind.
also Vom Kunden die sollen die erhalten Email im Original als Anhang dir per Email zuschicken.
Dann kannst du den Header im Original anschauen.
Und dann ganz klar sehen welchen weg die Email genommen hat.
also welches system wie und was.... obs intern fehler im system oder angreifer von extern oder oder...
Alles andere macht zwar spass aber wird dich effektiv nicht zur Rätsels Lösung führen.
Dann kannst du den Header im Original anschauen.
Und dann ganz klar sehen welchen weg die Email genommen hat.
also welches system wie und was.... obs intern fehler im system oder angreifer von extern oder oder...
Alles andere macht zwar spass aber wird dich effektiv nicht zur Rätsels Lösung führen.
[...] Textfeld geschrieben, dass es geänderte Bankdaten gibt [...]
Also der klassische BEC ... das würde ich so erstmal den betroffenen Kunden mitteilen und darauf drängen das die Ihre (Mail-)Infrastruktur prüfen. IdR werden in Outlook Regeln angelegt, die das Weiterleiten übernehmen - das gilt es zu unterbinden.IONOS hat damit nix zu tun, dein MX-Record zeigt ja (hoffentlich ) auf M365, richtig?
Zusätzlich sollten die dir Kunden diese gmail-Mails zur Verfügung stellen - möglichst im Orignal msg/eml, damit du auch die Original Header unter die Lupen nehmen kannst.
Und dann Anzeige stellen, Rechtsanwalt hinzuziehen und hoffen das deine Kunden intelligent genug sind eure "Rechnungen" nicht an die Bank auf den Jungferninseln zu überweisen
stimmt, könnte ja auch das Problem des Kunden sein, garnicht eures... das die hacker bei sich im netz haben und wie
SlainteMhath geschrieben hat ihr Email system krassen schnurz produziert, also original email unterbinden vor zustellung, stattdessen weiterleiten an hacker der schnell das ding editiert und dann zuschickt in der hoffung das jemand falsch das geld aufs konto des hackers überweist.... klingt auch sehr plausibel.
dann seid ihr mal defintiv nicht schuld an der sache
Aber das ist ja nun mehr als unwahrscheinlich, wenn das bei 4 Kunden auftritt.
Trommel
Aber das ist ja nun mehr als unwahrscheinlich, wenn das bei 4 Kunden auftritt.
Außer sie haben irgendwelche Gemeinsamkeiten, wie z.B. denselben Provider.
Das Abgreifen kann überall auf dem Weg vom Sender zu Kunden erfolgen. Insbesondere die Clouds sind verseucht mit Schnorchlern. Es gibt standardisierte Schnittstellen für Behörden, die allerdings inzwischen auch von "pöhsen Purschen" benutzt werden. Es kann auch malware auf den Endsystemen sein.
ich würde auf jeden Fall mal bei google/alphabet vorstellig werden, um die Mailadrese auf die schnelle stillzulegen. Ansonsten würde ich mal präparierte Mails losschicken, die nach Hause anrufen, wenn sie irgendwo geöffnet werden. Funktioniert zwar nicht immer aber man wundert sich manchmal wo die Mail bzw. das Attachment manchmal landet. (z.B. deep packet inspection bei manchen Carriern. )
lks
Zitat von @Lochkartenstanzer:
Außer sie haben irgendwelche Gemeinsamkeiten, wie z.B. denselben Provider.
lks
Aber das ist ja nun mehr als unwahrscheinlich, wenn das bei 4 Kunden auftritt.
Außer sie haben irgendwelche Gemeinsamkeiten, wie z.B. denselben Provider.
lks
Das wäre ja ein Super-GAU, wenn der Provider kompromittiert ist. Da könnte der Angreifer ja auch gleich die originale E-Mail manipulieren oder eigentlich auch noch viel mehr Schaden anrichten als die Rechnung mit einer offensichtlichen Jungferninsel-IBAN zu schicken.
Trommel
Zitat von @Trommel:
Das wäre ja ein Super-GAU, wenn der Provider kompromittiert ist. Da könnte der Angreifer ja auch gleich die originale E-Mail manipulieren oder eigentlich auch noch viel mehr Schaden anrichten als die Rechnung mit einer offensichtlichen Jungferninsel-IBAN zu schicken.
Zitat von @Lochkartenstanzer:
Außer sie haben irgendwelche Gemeinsamkeiten, wie z.B. denselben Provider.
lks
Aber das ist ja nun mehr als unwahrscheinlich, wenn das bei 4 Kunden auftritt.
Außer sie haben irgendwelche Gemeinsamkeiten, wie z.B. denselben Provider.
lks
Das wäre ja ein Super-GAU, wenn der Provider kompromittiert ist. Da könnte der Angreifer ja auch gleich die originale E-Mail manipulieren oder eigentlich auch noch viel mehr Schaden anrichten als die Rechnung mit einer offensichtlichen Jungferninsel-IBAN zu schicken.
Leise schnorcheln ist unauffälliger und einfacher als aktiv den traffic zu manipulieren.
lks
Moin @rrobbyy,
alleine schon bei diesem Satz, schrillen bei mir sämtliche Alarmglocken!
Dieser sagt mir nämlich, dass ihr zu 99,99% kompromitiert seid. 😔
Denn würde das Problem nur bei einem einzigen Empfänger geschehen, dann könnte man noch sagen, das die Change 50 zu 50 ist, dass eventuell auch der Empfänger betroffen ist.
Wenn ein solches Problem jedoch bei 4 unterschiedlichen Empfängern ähnlich ist, dann liegt der Grund dafür, meiner Erfahrung nach zu 100% beim Versender, sorry.
Ich sehe hier eigentlich nur zwei Möglichkeiten, entweder ist euer ganzer Tenant kompromitiert oder mindestens eines der Endgeräte, die Zugriff auf das entsprechende Postfach haben.
Gruss Alex
Es ist nicht bei allen Kontakten so. Bisher haben wir 4 Kunden ausgemacht, bei denen das so ist. (ja, ich habe versucht mit der IT von denen Kontakt aufzunehmen).
alleine schon bei diesem Satz, schrillen bei mir sämtliche Alarmglocken!
Dieser sagt mir nämlich, dass ihr zu 99,99% kompromitiert seid. 😔
Denn würde das Problem nur bei einem einzigen Empfänger geschehen, dann könnte man noch sagen, das die Change 50 zu 50 ist, dass eventuell auch der Empfänger betroffen ist.
Wenn ein solches Problem jedoch bei 4 unterschiedlichen Empfängern ähnlich ist, dann liegt der Grund dafür, meiner Erfahrung nach zu 100% beim Versender, sorry.
Ich sehe hier eigentlich nur zwei Möglichkeiten, entweder ist euer ganzer Tenant kompromitiert oder mindestens eines der Endgeräte, die Zugriff auf das entsprechende Postfach haben.
Gruss Alex
Moin @rrobbyy,
die kannst du nicht mal den Hassen zum Fressen geben.
MS wurde erst vorletztes Jahr selbst gehackt und hat über Monate nicht realisiert, dass mitunter auch die Mails derer Security-Abteilung, ausspioniert worden sind. 😔
Und so wie es aussieht ...
https://www.mdr.de/nachrichten/deutschland/wirtschaft/microsoft-hacker-a ...
... haben die selbst im März vergangenen Jahres, die Lage wohl noch nicht in den Griff bekommen. 😭
Weitere Infos:
https://www.borncity.com/blog/2024/06/28/microsoft-neues-vom-midnight-bl ...
Gruss Alex
Ich habe von Microsoft die schriftliche Bestätigung, dass nichts über deren Tenant ging.
die kannst du nicht mal den Hassen zum Fressen geben.
MS wurde erst vorletztes Jahr selbst gehackt und hat über Monate nicht realisiert, dass mitunter auch die Mails derer Security-Abteilung, ausspioniert worden sind. 😔
Und so wie es aussieht ...
https://www.mdr.de/nachrichten/deutschland/wirtschaft/microsoft-hacker-a ...
... haben die selbst im März vergangenen Jahres, die Lage wohl noch nicht in den Griff bekommen. 😭
Weitere Infos:
https://www.borncity.com/blog/2024/06/28/microsoft-neues-vom-midnight-bl ...
Gruss Alex
Zitat von @MysticFoxDE:
Moin @rrobbyy,
die kannst du nicht mal den Hassen zum Fressen geben.
MS wurde erst vorletztes Jahr selbst gehackt und hat über Monate nicht realisiert, dass mitunter auch die Mails derer Security-Abteilung, ausspioniert worden sind. 😔
Und so wie es aussieht ...
https://www.mdr.de/nachrichten/deutschland/wirtschaft/microsoft-hacker-a ...
... haben die selbst im März vergangenen Jahres, die Lage wohl noch nicht in den Griff bekommen. 😭
Moin @rrobbyy,
Ich habe von Microsoft die schriftliche Bestätigung, dass nichts über deren Tenant ging.
die kannst du nicht mal den Hassen zum Fressen geben.
MS wurde erst vorletztes Jahr selbst gehackt und hat über Monate nicht realisiert, dass mitunter auch die Mails derer Security-Abteilung, ausspioniert worden sind. 😔
Und so wie es aussieht ...
https://www.mdr.de/nachrichten/deutschland/wirtschaft/microsoft-hacker-a ...
... haben die selbst im März vergangenen Jahres, die Lage wohl noch nicht in den Griff bekommen. 😭
Deswegen würde ich das Problem bei MS verorten und nicht beim Sender. Ich habe es nur nicht ganz so deutlich geschrieben.
lks
PS: Ich war mal (vor sehr langer Zeit) bei einem einem ISP/Carrier in der deutschen Security-Abteilung. Aber die war nur für die Sicherheit der Kunden und deren Infrastruktur zuständig. Die eigene Security wurde von der zentrale im europäischen Ausland gemanaged. Wir wußten schon, warum die Infrastruktur unserer Abteilung unabhängig von der Konzrninfrastruktur war.
Moin @Lochkartenstanzer,
da der TO einen Exchange-Online hat, ist MS aber auch quasi der Sender, zumindest stellen die den sendenden SMTP Server. 🙃
Wenn der TO einen OnPrem-Exchange hätte, dann wäre das Problem bei dem jetzigen Erkentnisstand wahrscheinlich auch in unter 24 Stunden gefunden. Bei einem Exchange-Online, gleich die Suche danach jedoch eher der nach der Nadel im Häuhaufen, zumal man die MS eigene Infrastruktur auch nicht wirklich gut analysieren kann. 😔
Gruss Alex
Deswegen würde ich das Problem bei MS verorten und nicht beim Sender.
da der TO einen Exchange-Online hat, ist MS aber auch quasi der Sender, zumindest stellen die den sendenden SMTP Server. 🙃
Wenn der TO einen OnPrem-Exchange hätte, dann wäre das Problem bei dem jetzigen Erkentnisstand wahrscheinlich auch in unter 24 Stunden gefunden. Bei einem Exchange-Online, gleich die Suche danach jedoch eher der nach der Nadel im Häuhaufen, zumal man die MS eigene Infrastruktur auch nicht wirklich gut analysieren kann. 😔
Gruss Alex
Nach den bisherigen Infos würde ich eher auf einen kompromittierten Client auf eurer Seite tippen. Dass der M365 Account gehackt wurde mit MFA halte ich für unwahrscheinlich (oder habt ihr Ausnahmen, ist MFA wirklich erzwungen?), außerdem würde der User recht schnell als "risky" geflagged werden, trotzdem mal die Logs der User prüfen von wo aus die Logins stammen. Sind die Mitarbeiter im HO mit privaten Rechnern?
Moin @geraldxx,
so unwahrscheinlich ist das trotz MFA bei Microsoft nun leider auch nicht ...
https://www.heise.de/news/Microsoft-Azure-MFA-Schutz-war-aushebelbar-101 ...
... und das ist nur der jügste Artikel in dieser Richtung. 😔
Gruss Alex
Dass der M365 Account gehackt wurde mit MFA halte ich für unwahrscheinlich
so unwahrscheinlich ist das trotz MFA bei Microsoft nun leider auch nicht ...
https://www.heise.de/news/Microsoft-Azure-MFA-Schutz-war-aushebelbar-101 ...
... und das ist nur der jügste Artikel in dieser Richtung. 😔
Gruss Alex
Zitat von @MysticFoxDE:
Moin @geraldxx,
so unwahrscheinlich ist das trotz MFA bei Microsoft nun leider auch nicht ...
https://www.heise.de/news/Microsoft-Azure-MFA-Schutz-war-aushebelbar-101 ...
... und das ist nur der jügste Artikel in dieser Richtung. 😔
Moin @geraldxx,
Dass der M365 Account gehackt wurde mit MFA halte ich für unwahrscheinlich
so unwahrscheinlich ist das trotz MFA bei Microsoft nun leider auch nicht ...
https://www.heise.de/news/Microsoft-Azure-MFA-Schutz-war-aushebelbar-101 ...
... und das ist nur der jügste Artikel in dieser Richtung. 😔
Wollte ich auch gerade schreiben, daß die pôhsen Purschen, anscheinend nicht wissen daß das unwahrscheinlich sein sollen und es trotzdem tun.
lks
Das war möglich (3% Chance) ist allerdings bereits gelöst. Und der Login klappt dann auch nur ein einziges Mal. Ich halte das immer noch für unwahrscheinlich wenn jemand Zugang zu einem Benutzeraccount hätte, müsste er nicht den Umweg über eine Gmail Adresse gehen. Ein fähiger Admin würde das anhand der Logs auch sofort sehen ;) Ein noch fähigerer Admin würde das über Policies unterbinden.
Moin,
das klingt alles nicht gut. Jetzt weißt Du ja auch, dass es einen erfolgreichen Angriff bei Euch (nicht beim Kunden) gegeben hat. Also das, was bei diesen Symptomen eigentlich auch zu erwarten war.
Wann hast Du das mit "Florida" festgestellt? Jetzt jüngst? Jedenfalls solltest Du da das große Programm auspacken. Alles kontrollieren bei dem User, alle Weiterleitungen, Regeln, App Kennwörter, angemeldete und autorisierte Clients etc., ggf. auch alle registrierten Anwendungen in Microsoft Entra ID. Hatte dieser User Zugriff auf andere Bereiche des Tenants? Dann auch dort alles kontrollieren und ändern. Irgendwelche (App) Kennwörter und angemeldete Clients im Zweifel immer ändern und rauskicken. Möglicherweise/ wahrscheinlicherweise besteht auf einem der Zugangswege zu Exchange Online eben auch heute noch Zugriff.
Ein mögliches Szenario, wenn der "Florida"-User entsprechende Zugriffsrechte hat (ich gehe davon aus, dass der User Zugriff auf das fragliche Postfach hat), ist es ja, dass dort ein Mailclient Zugriff nimmt, der die gesendeten Mails überwacht und dann einen Automatismus anstösst (die ca. 60 Sekunden später gesendenten Mails). Und wenn dann ein Mensch darüber schaut, erklärt das, warum dann PDFs mit Rechnungen deutlich später hinterherkommen. Das ganze geht dann von Angreifer aus über die GMail-Server, daher auch bei Dir keine "abgehenden" Spuren.
Gruß
DivideByZero
das klingt alles nicht gut. Jetzt weißt Du ja auch, dass es einen erfolgreichen Angriff bei Euch (nicht beim Kunden) gegeben hat. Also das, was bei diesen Symptomen eigentlich auch zu erwarten war.
Wann hast Du das mit "Florida" festgestellt? Jetzt jüngst? Jedenfalls solltest Du da das große Programm auspacken. Alles kontrollieren bei dem User, alle Weiterleitungen, Regeln, App Kennwörter, angemeldete und autorisierte Clients etc., ggf. auch alle registrierten Anwendungen in Microsoft Entra ID. Hatte dieser User Zugriff auf andere Bereiche des Tenants? Dann auch dort alles kontrollieren und ändern. Irgendwelche (App) Kennwörter und angemeldete Clients im Zweifel immer ändern und rauskicken. Möglicherweise/ wahrscheinlicherweise besteht auf einem der Zugangswege zu Exchange Online eben auch heute noch Zugriff.
Ein mögliches Szenario, wenn der "Florida"-User entsprechende Zugriffsrechte hat (ich gehe davon aus, dass der User Zugriff auf das fragliche Postfach hat), ist es ja, dass dort ein Mailclient Zugriff nimmt, der die gesendeten Mails überwacht und dann einen Automatismus anstösst (die ca. 60 Sekunden später gesendenten Mails). Und wenn dann ein Mensch darüber schaut, erklärt das, warum dann PDFs mit Rechnungen deutlich später hinterherkommen. Das ganze geht dann von Angreifer aus über die GMail-Server, daher auch bei Dir keine "abgehenden" Spuren.
Gruß
DivideByZero
Moin @geraldxx,
man findet aktuell hunderte, wenn nicht gar tausende Artikel im Netz, wo sich Anweder darüber beschwerren, dass ihr Microsoft-Account trotz MFA gehackt wurde. 😔
Und wie ich schon oben geschrieben habe, die von der Heise angesprochene Lücke, war bei weitem nicht die einzige Geschichte.
https://www.golem.de/news/lapsus-hackergruppe-umgeht-2fa-mit-einfachem-t ...
Wenn der Angreifer die gefälschten Mails auch über dieselbe Infrastruktur verschicken würde, wo er diese auch gelkaut hat, dann würde dadurch massiv die Gefahr der Enttarnung ansteigen und genau das vermeiden die mit dem versenden über den G-Mail Account. 😉
Bei dem letzten bekannten Hack von Microsoft, haben die Angreifer auch deren Security-Abteilung infiltriert gehabt und zwar monatelang ohne dass es jemandem aufgefallen ist. 😔😭
Gruss Alex
Das war möglich (3% Chance) ist allerdings bereits gelöst. Und der Login klappt dann auch nur ein einziges Mal.
man findet aktuell hunderte, wenn nicht gar tausende Artikel im Netz, wo sich Anweder darüber beschwerren, dass ihr Microsoft-Account trotz MFA gehackt wurde. 😔
Und wie ich schon oben geschrieben habe, die von der Heise angesprochene Lücke, war bei weitem nicht die einzige Geschichte.
https://www.golem.de/news/lapsus-hackergruppe-umgeht-2fa-mit-einfachem-t ...
Ich halte das immer noch für unwahrscheinlich wenn jemand Zugang zu einem Benutzeraccount hätte, müsste er nicht den Umweg über eine Gmail Adresse gehen.
Wenn der Angreifer die gefälschten Mails auch über dieselbe Infrastruktur verschicken würde, wo er diese auch gelkaut hat, dann würde dadurch massiv die Gefahr der Enttarnung ansteigen und genau das vermeiden die mit dem versenden über den G-Mail Account. 😉
Ein fähiger Admin würde das anhand der Logs auch sofort sehen ;)
Ein noch fähigerer Admin würde das über Policies unterbinden.
Ein noch fähigerer Admin würde das über Policies unterbinden.
Bei dem letzten bekannten Hack von Microsoft, haben die Angreifer auch deren Security-Abteilung infiltriert gehabt und zwar monatelang ohne dass es jemandem aufgefallen ist. 😔😭
Gruss Alex
Zitat von @rrobbyy:
Die letzten Tage habe ich die meisten User von allen Sitzungen zwangsabgemeldet und zu neuen Passwörter gezwungen.
Die letzten Tage habe ich die meisten User von allen Sitzungen zwangsabgemeldet und zu neuen Passwörter gezwungen.
Hast Du auch die anderen genannten Punkte überprüft (insbesondere Drittanwendungen über App Kennwörter und registrierte Anwendungen in Microsoft Entra ID)? Da könnte auch noch etwas schlummern.
Zitat von @rrobbyy:
Im Login-Log stehen diverse Anmeldeversuche. Tatsächlich gab es Ende Dezember ein erfolgreichen Login in "Florida" bei einem User. Der User selbst war aber hier in Deutschland. Daraufhin habe ich die Abmeldung erzwungen und die Zugangsdaten geändert. Kurios dabei finde ich, dass das Konto MFA hatte, im Backend bei Entra-ID stand "disabled" ich habe diesen jetzt auf "enforced" umgestellt.
Im Login-Log stehen diverse Anmeldeversuche. Tatsächlich gab es Ende Dezember ein erfolgreichen Login in "Florida" bei einem User. Der User selbst war aber hier in Deutschland. Daraufhin habe ich die Abmeldung erzwungen und die Zugangsdaten geändert. Kurios dabei finde ich, dass das Konto MFA hatte, im Backend bei Entra-ID stand "disabled" ich habe diesen jetzt auf "enforced" umgestellt.
Hat vielleicht einer deiner Kollegen dem Jammern des Users nachgegeben MFA wäre ihm / ihr zu umständlich? Leider gibt es in Entra viele Wege / Möglichkeiten für MFA, man sollte genau wissen was man macht um MFA auch wirklich zu erzwingen. Nicht das da ein Kollege um die Ecke kommt und für gewisse User deaktiviert (habe ich auch schon erlebt, Admin ist mit einem User befreundet, da werden dann solche Extrawünsche umgesetzt).
PS: In den Logs solltest du auch sehen können ob MFA beim Login benutzt wurde beim User aus Florida, dann wäre das Rätsel um MFA ist unsicher auch gelöst (MFA war ja anscheinend nicht aktiviert), zumindest in diesem Fall. Normalerweise wird Entra auch sehr hellhörig bei Anmeldungen aus einem anderen Land... wenn man es denn richtig konfiguriert. Aber wenn man MFA nicht benutzt und erzwingt kann auch Microsoft da auch nichts dafür ;)
Moin @rrobbyy,
na klar, das ist bei vielen ITler einer der produktivsten Tage, weil an diesem nicht ständig irgend ein Anwender/Kunden dazwischenkommt. 🤪
Du meinst damit bestimmt die Weiterleitung innerhalb eines Postfachs.
Bei einem Exchange kann man aber auch per Transportregel den Nachrichtenfluss ordentlich manipulieren. 😔
Was spuckt den auf deinem Exchange-Online ...
... aus?
Was meinst du den genau mit "zu gmail"?
Gruss Alex
Am Sonntag noch eine Antwort bekommen - meine Güte ;)
na klar, das ist bei vielen ITler einer der produktivsten Tage, weil an diesem nicht ständig irgend ein Anwender/Kunden dazwischenkommt. 🤪
Ich habe den Tenant vor einem Jahr auch so eingestellt, dass ich eine Mail bekomme, falls jemand eine Weiterleitung aktiviert. Das funktioniert tatsächlich überraschend gut ^^
Du meinst damit bestimmt die Weiterleitung innerhalb eines Postfachs.
Bei einem Exchange kann man aber auch per Transportregel den Nachrichtenfluss ordentlich manipulieren. 😔
Was spuckt den auf deinem Exchange-Online ...
Get-TransportRule | Select *
... aus?
Jedoch gingen bereits Ende November die Mails zu gmail.
Was meinst du den genau mit "zu gmail"?
Gruss Alex