DEBULL-Tooling nutzt Microsofts Device-Code-Flow für Phishing-Kampagnen gegen Microsoft 365

Sicherheitsforscher berichten, dass eine von Ende Juni bis Anfang Juli 2026 beobachtete Phishing-Kampagne Microsofts Device-Code-Authentifizierungsflow missbrauchte, um Microsoft-365-Nutzer ins Visier zu nehmen. Laut ZeroBEC setzte die Operation auf Köder mit Bezug zu Zusammenarbeit, um Empfänger dazu zu bewegen, einen legitimen Microsoft-Anmeldevorgang zu starten, während ein von den Angreifern kontrolliertes Backend-Tooling die für die Token-Generierung und das Abfragen erforderlichen Schritte übernahm, um Zugriffsdaten abzugreifen.

Der Ansatz ist nicht auf eine gefälschte Passwortseite angewiesen. Stattdessen werden Opfer dazu angeleitet, einen von den Angreifern bereitgestellten Gerätecode auf Microsofts echter Authentifizierungsseite einzugeben. Da der Anmeldevorgang echt ist, kann die Technik die Multifaktor-Authentifizierung umgehen und Angreifern nutzbaren Sitzungszugriff verschaffen, ohne dass sie ein Passwort stehlen müssen.

Die Forscher erklärten, dass die Aktivitäten deutliche Ähnlichkeiten mit einer Kampagne aufweisen, die Microsoft 2025 unter dem Namen Storm-2372 verfolgt hatte. Dazu gehört auch die Verwendung von Nachrichten, die scheinbar von Teams oder anderen Diensten für die Zusammenarbeit stammen. ZeroBEC geht jedoch davon aus, dass die aktuelle Operation über eine wiederverwendbare Tooling-Schicht betrieben wird, die das Unternehmen als DEBULL bezeichnet.

So funktioniert der Angriff

Bei den untersuchten Vorfällen nutzten Phishing-E-Mails Themen wie Zahlungen und freigegebene Ordner, um Nutzer zum Klicken auf einen Link zu bewegen. Dieser Link leitete die Opfer auf eine kompromittierte kroatische Mietwebsite weiter, die als Orchestrator für Gerätecodes fungierte und den Microsoft-Challenge-Flow einrichtete. Einige Elemente der Infrastruktur enthielten Entwicklerhinweise in türkischer Sprache. Die Forscher erklärten jedoch, dass dies nicht ausreiche, um die Hintermänner der Kampagne zu bestätigen.

ZeroBEC beschrieb DEBULL als wahrscheinlich eine Phishing-as-a-Service-Plattform, die Aktivitäten nach einer Kompromittierung in Microsoft 365 und Entra unterstützen kann und möglicherweise GraphSpy oder einen ähnlichen Workflow nutzt. Der Dienst scheint darauf ausgelegt zu sein, dass Betreiber Köderseiten austauschen können, ohne die zugrunde liegende Identitätsinfrastruktur zu ändern.

Warum die Technik relevant ist

• Sie nutzt Microsofts eigenen Authentifizierungsflow statt einer gefälschten Anmeldeseite.
• Sie kann MFA umgehen, indem autorisierte Sitzungstoken abgegriffen werden.
• Sie kann zu Kontoübernahmen, BEC, Datendiebstahl und lateraler Bewegung führen.
• Sie wird zunehmend in wiederverwendbare kriminelle Toolkits integriert.

Der Bericht folgt auf weitere Erkenntnisse aus der Branche, denen zufolge Phishing über Gerätecodes zu einem gängigen Bestandteil moderner Phishing-as-a-Service-Angebote geworden ist. Cisco Talos identifizierte kürzlich ein weiteres Panel namens ARToken, das zahlreiche Endpunkte für Phishing über Gerätecodes, die dauerhafte Speicherung von Token, den E-Mail-Zugriff, den Diebstahl von SharePoint-Daten und BEC-Operationen bereitstellt. Der breitere Trend deutet darauf hin, dass Angreifer den Missbrauch von Identitäten als operative Dienstleistung und nicht nur als einmalige Phishing-Taktik betrachten.