Vorsicht geboten: Hacker umgehen die MFA

Das ATO (Advanced Threat Operations)-Team von Ontinue untersuchte aktuelle Ransomware-Aktivitäten, Phishing-as-a-Service (PhaaS), Infostealer-Malware sowie aktive APT-Gruppen (Advanced Persistent Threats).

Ransomware und Identity-Attacken im Fokus

Ransomware bleibt die größte Bedrohung: Trotz des Rückgangs von Lösegeldzahlungen um rund 35 % im Vergleich zum Vorjahr, wurden im ersten Halbjahr 2025 über 4.000 Vorfälle gemeldet, maßgeblich verursacht von den RaaS-Gruppen CL0P, QILIN und AKIRA. Gleichzeitig gewinnen identitätsbasierte Angriffe an Bedeutung: Hacker stehlen Passwörter oder Tokens, um Cloud-Ressourcen und sensible Daten zu übernehmen. Rund 20 % der Vorfälle nutzten gestohlene Tokens - ein effektiver Weg um MFA auch nach Passwort-Resets zu umgehen.

Da klassische Office-Anhänge verstärkt blockiert werden, weichen Angreifer auf Formate wie SVG oder IMG aus. Laut Threat Intelligence Report lagen mehr als 70 % der gefährlichen Anhänge, die Secure Email Gateways umgingen, in Formaten wie SVG oder IMG vor und nicht mehr in klassischen Office-Dokumenten.

Gefahren in der Cloud und vor Ort

Cloud-Persistenz ist ebenfalls auf dem Vormarsch. Bei fast 40 % der von Ontinue untersuchten Angriffe auf die Azure-Cloud von Microsoft setzten Hacker mehrere Methoden gleichzeitig ein, um möglichst lange unentdeckt in infiltrierten Systemen agieren zu können: Sie legen beispielsweise manipulierte Apps an und geben ihnen Zugangsrechte. Ist eine solche im System integriert, können Hacker sie mit Automation Jobs oder Runbooks ausstatten. Die App führt dann regelmäßig bösartigen Code aus oder erneuert die Zugänge der Cyberkriminellen.
Durch sogenannte Role Escalation versuchen Hacker zudem, ihre Zugriffsrechte zu erweitern, um noch tiefer in fremde Systeme einzudringen. Außerdem versuchen Angreifer in kompromittierten Systemen zu verhindern, dass wichtige Sicherheitsdaten an zentrale Überwachungsplattformen (SIEM) weitergeleitet werden. Wenn das gelingt, liegt die mittlere Verweildauer der Hacker im System bei über 21 Tagen – ein langer Zeitraum, um Schaden anzurichten. Parallel erlebt über USB-Ports eingeschleuste Malware ein Comeback: Das ATO-Team verzeichnete einen Anstieg um 27 % im Vergleich zum Vorjahr.