Das Unternehmen Huntress verzeichnete im ersten Halbjahr 2026 einen 155-fachen Anstieg von Passwort-Spraying-Angriffen. Die Welle nutzte durchgesickerte Zugangsdaten und alte Authentifizierungspfade, die nicht immer durch die Multi-Faktor-Authentifizierung (MFA) geschützt sind. Zu den wichtigsten Fällen gehörte eine Kampagne gegen das Azure-CLI-Tool, das Systemadministratoren zur Verwaltung von Azure- und Entra-Ressourcen verwenden.
Die Aktivitäten gingen von einem IPv6-Adressbereich aus, der vom Internet-Hosting-Unternehmen LSHIY LLC kontrolliert wird. Die Kampagne begann Monate zuvor, doch Huntress registrierte Mitte Juni innerhalb von zwei Wochen mehr als 81 Millionen damit verbundene Anmeldeversuche, die zur Kompromittierung von 78 Konten führten. Das Unternehmen beobachtete nach den mit dieser Kampagne verbundenen Kompromittierungen keine weiteren Aktivitäten. Rich Mozeleski, Produktleiter bei Huntress, vermutete, dass der Angreifer die Gültigkeit der Zugangsdaten überprüfte, um sie anschließend im Darknet weiterzuverkaufen.
Wie wurden die Angriffe durchgeführt?
Beim Passwort-Spraying werden einige wenige häufig verwendete oder durchgesickerte Passwörter bei vielen Konten ausprobiert, anstatt eine große Zahl von Passwörtern bei einem einzigen Konto zu testen. Diese Methode hilft dem Angreifer, Sperrgrenzen und unmittelbare Warnmeldungen zu umgehen. Üblicherweise beginnt der Vorgang mit der Sammlung gültiger Benutzernamen von Unternehmenswebsites, LinkedIn, Datenlecks und Phishing-Kampagnen. Anschließend wird eine kurze Liste bekannter Passwörter oder solcher erstellt, die mit dem Unternehmensnamen oder bestimmten Jahreszeiten verbunden sind.
- Sammlung potenzieller Benutzernamen.
- Erstellung einer begrenzten Liste durchgesickerter oder häufig verwendeter Passwörter.
- Ausprobieren eines einzigen Passworts bei mehreren Konten mit niedriger Frequenz.
- Nutzung des kompromittierten Kontos für laterale Bewegungen, Business-E-Mail-Kompromittierung oder den Diebstahl zusätzlicher Daten.
Huntress zufolge kombinierte die LSHIY-Kampagne eine große Zahl von Versuchen mit der Wiederverwendung zuvor durchgesickerter gültiger Kombinationen aus Benutzernamen und Passwörtern, die noch nicht geändert worden waren. Daher war ein erfolgreicher Versuch wertvoller als das zufällige Erraten eines Passworts.
Die Schwachstelle im Authentifizierungspfad
Die Angreifer nutzten außerdem den Mechanismus Resource Owner Password Credentials, kurz ROPC, eine alte OAuth-Gewährung, die in OAuth 2.1 eingestellt wurde. Dieser Mechanismus sendet Benutzername und Passwort direkt an den /token-Endpunkt. Er bietet keine modernen Authentifizierungsabläufe wie MFA oder Single Sign-On (SSO) und zeigt keine interaktive Aufforderung zur Multi-Faktor-Authentifizierung an.
In der Praxis bedeutet dies, dass ein wiederverwendetes und noch gültiges Passwort in eine aktive Zugriffssitzung umgewandelt werden kann, selbst wenn die Organisation MFA über eine Richtlinie für bedingten Zugriff (CAP) aktiviert hat, sofern die Richtlinie den ROPC-Pfad nicht ausdrücklich abdeckt. Andrew „Spike“ Brandt, leitender Leiter für Threat-Intelligence-Vorfälle bei Huntress, bezeichnete diesen Mechanismus technisch als „Identitäts-Spoofing-Methode“, obwohl er als Autorisierungsmethode bezeichnet wird.
Was ändert sich in der Praxis?
Die Kampagne zeigt, dass die allgemeine Aktivierung von MFA keinen Schutz für alle Anmeldepfade garantiert. Alte Pfade oder Ausnahmen, die nicht von Zugriffsrichtlinien abgedeckt sind, können durchgesickerten Zugangsdaten die Möglichkeit geben, den interaktiven Schutz zu umgehen. Huntress zufolge stellte LSHIY die Angriffe später aus dem ursprünglichen IP-Bereich ein und bestätigte, dass der Angreifer den zugehörigen Bring-Your-Own-IP-Dienst (BYOIP) verwendet hatte.