Kali365: Phishing-Plattform imitiert Microsoft, Okta und weitere Dienste
Sicherheitsforscher von Arctic Wolf haben eine erhebliche Ausweitung der Phishing-as-a-Service-Kampagne „Kali365“ dokumentiert. Was ursprünglich als einzelnes Phishing-Kit begann, hat sich zu einer vollständigen, kommerziell betriebenen Angriffsplattform entwickelt, die Microsoft-Dienste, Okta, Xerox DocuShare und zahlreiche weitere bekannte Plattformen täuschend echt imitiert.
Was ist Kali365?
Kali365 (auch „K365“ genannt) ist eine seit April 2026 aktive Phishing-as-a-Service-Plattform, die Kriminellen ohne tiefes technisches Wissen den Zugang zu fertigen Angriffswerkzeugen verkauft. Das FBI warnte im Mai 2026 ausdrücklich vor der Plattform.
Das Besondere an Kali365 ist die Missbrauch des legitimen OAuth 2.0 Device Authorization Flows von Microsoft. Dieser Mechanismus wurde eigentlich für Geräte entwickelt, die keine normalen Browser-Anmeldungen unterstützen, etwa Smart-TVs oder Drucker. Der Angriff funktioniert so: Die Angreifer starten selbst einen Device-Login-Request bei Microsoft, erhalten einen legitimen Gerätecode und betten diesen in eine gefälschte OneDrive- oder SharePoint-Seite ein. Wenn ein Opfer den Code auf der echten Microsoft-Seite eingibt und sich authentifiziert, erhält der Angreifer direkt OAuth-Zugangstokens für das Microsoft 365-Konto, inklusive dauerhaftem Zugriff, ohne jemals das Passwort oder den MFA-Code des Opfers zu kennen.
Die Plattform wird über Telegram-Kanäle vermarktet, was die Einstiegshürde für Angreifer deutlich senkt.
Neue Erkenntnisse: 126 Hosts und ein Live-Kontrollpanel
Arctic Wolf gelang es, die Kommando- und Kontrollinfrastruktur von Kali365 zu identifizieren. Das Kontrollpanel ist unter panel[.]securehubcloud[.]com erreichbar und wird intern als „K365 Control“ bezeichnet. Alle angeschlossenen Phishing-Seiten fragen dieses Panel alle drei Sekunden ab, um zu überprüfen, ob ein Opfer den Gerätecode eingegeben hat.
Über den TLS-Zertifikats-Fingerabdruck des Kontrollpanels konnten die Forscher einen Cluster von 126 bösartigen Hosts identifizieren, die zwischen dem 6. und 27. Mai 2026 aktiv waren. Alle nutzen dieselbe Kit-Infrastruktur und dasselbe HTML-Template. Das zeigt, wie schnell Kali365-Betreiber Domains und Köder wechseln können.
Gezielte Übernahme von MAX-Messenger-Konten
Eine neue Angriffskomponente zielt auf MAX Messenger ab, die von der russischen Regierung geförderte Messaging-Plattform mit über 110 Millionen registrierten Nutzern. Opfer werden auf eine gefälschte Gewinnbestätigungsseite gelockt. Dort geben sie ihre russische Mobilnummer ein, woraufhin die echte MAX-Plattform einen Einmal-Code an das Gerät schickt. Diesen Code trägt das Opfer auf der Phishing-Seite ein, womit der Angreifer die vollständige Kontrolle über das MAX-Konto übernimmt, inklusive aller Nachrichten, Medien und Kontakte.
Erbeutete Zugangsdaten werden in Echtzeit über einen Telegram-Bot (@NovosibyrskyMoneyBot) an die Angreifer übermittelt.
Imitierte Dienste im Überblick
Kali365 ahmt eine breite Palette bekannter Dienste nach: Microsoft Outlook und Live, Okta SSO, Xerox DocuShare, LiveDrive, AWS-ähnliche Endpunkte, den deutschen E-Mail-Anbieter GMX sowie russische Dienste wie Mail.ru, Yandex Disk und Odnoklassniki.
- Mitarbeitende gezielt auf Device-Code-Phishing schulen: Eine Phishing-Seite, die auffordert, einen Code auf microsoft.com/devicelogin einzugeben, ist ein eindeutiges Warnzeichen.
- Telegram-Verbindungen aus dem Unternehmensnetzwerk überwachen oder blockieren.
- SIEM/EDR auf ungewöhnliche OAuth-Token-Ausstellungen für unbekannte Anwendungen prüfen.
- Keine Gewinnversprechen oder Preisverifizierungen über Messenger-Plattformen bestätigen, ohne den offiziellen Weg zu nutzen.
- Multi-Faktor-Authentifizierung aktivieren, aber wissen: Diese Angriffsmethode kann auch MFA umgehen, sofern Device-Code-Flow aktiv ist.
