Storm-2755-Gehaltsangriffe zielen auf kanadische Mitarbeiter

Einführung

Microsoft Incident Response hat neue Erkenntnisse zu Storm-2755 veröffentlicht, einem Threat Actor, der sogenannte Payroll-Pirate-Angriffe gegen kanadische Nutzer durchführt. Für IT- und Security-Teams ist diese Kampagne besonders relevant, weil sie SEO poisoning, Malvertising und Adversary-in-the-Middle (AiTM)-Phishing kombiniert, um authentifizierte Sessions zu kapern und Gehaltszahlungen von Mitarbeitern umzuleiten.

Das ist nicht nur für Kanada relevant: Die Vorgehensweise lässt sich gegen jede Organisation wiederverwenden, die auf Microsoft 365 sowie Online-HR- oder Payroll-Plattformen setzt.

Was ist neu?

Microsoft zufolge nutzte Storm-2755 eine spezifische Angriffskette mit Fokus auf ein breites geografisches Targeting kanadischer Nutzer statt auf eine einzelne Branche.

Beobachtete Schlüsseltechniken

• SEO poisoning und Malvertising lenkten Opfer über Suchanfragen wie „Office 365“ und ähnliche Falschschreibweisen auf vom Angreifer kontrollierte Domains.
• Opfer wurden auf eine gefälschte Microsoft 365-Anmeldeseite geleitet, die darauf ausgelegt war, Anmeldedaten und Session-Tokens zu stehlen.
• Der Akteur nutzte AiTM-Techniken, um Session-Cookies und OAuth-Tokens abzugreifen, und konnte so nicht phishing-resistente MFA umgehen.
• Microsoft beobachtete verdächtige Axios 1.7.9 user-agent-Aktivitäten und verknüpfte den Ablauf mit bekanntem Axios-bezogenem Missbrauch, einschließlich Bedenken zu CVE-2025-27152.
• Nach dem Zugriff suchte Storm-2755 nach Payroll- und HR-bezogenen Ressourcen und gab sich dann mit E-Mails wie „Question about direct deposit.” als Mitarbeiter aus.
• In einigen Fällen erstellte der Akteur außerdem Inbox Rules, um Nachrichten mit Begriffen wie „direct deposit“ oder „bank“ zu verbergen.

Auswirkungen auf Administratoren und Organisationen

Das unmittelbarste Risiko ist der direkte finanzielle Verlust. Sobald ein Konto kompromittiert ist, kann der Angreifer legitime Sessions nutzen, um in normalen Geschäftsaktivitäten unterzutauchen, was die Erkennung erschwert.

Admins sollten außerdem beachten, dass herkömmliche MFA gegen Token-Diebstahl nicht immer ausreicht. Da AiTM-Angriffe authentifizierte Sessions erneut verwenden, können Organisationen, die auf Legacy-MFA-Methoden setzen, weiterhin gefährdet sein.

Was IT-Teams als Nächstes tun sollten

Microsoft empfiehlt, Gegenmaßnahmen zu priorisieren, die Token-Replay und den Erfolg von Phishing reduzieren.

Maßnahmen

• Phishing-resistente MFA bereitstellen, zum Beispiel FIDO2/WebAuthn.
• Anmeldeprotokolle auf Fehler 50199, ungewöhnliche Session continuity und Axios user-agent-Aktivitäten prüfen.
• Wiederholte nicht interaktive Anmeldungen bei Apps wie OfficeHome, Outlook, My Sign-Ins und My Profile überwachen.
• Inbox Rules auf Schlüsselwörter im Zusammenhang mit Banking oder direct deposit prüfen.
• Verdächtige Zugriffe auf HR- und Payroll-Plattformen wie Workday untersuchen.
• Aktive Session-Tokens widerrufen und Anmeldedaten bei mutmaßlich kompromittierten Konten zurücksetzen.
• Nutzer zu Phishing über Suchergebnisse und gefälschten Microsoft 365-Loginseiten sensibilisieren.

Fazit

Storm-2755 zeigt, wie sich moderne Phishing-Kampagnen von einfachem Diebstahl von Anmeldedaten hin zu Session-Hijacking mit realen finanziellen Auswirkungen entwickeln. Organisationen, die Microsoft 365 nutzen, sollten phishing-resistente Authentifizierung überprüfen, das Monitoring auf anomales Anmeldeverhalten verstärken und Security- sowie HR-Teams bei Prozessen zur Verifizierung von Änderungen bei Gehaltszahlungen abstimmen.