Missbrauch von Passkeys: Phishing-Toolkit soll Passwort-Reset umgehen können

Ein schwerwiegender Angriff auf die Kontosicherheit

Ein neu aufgetauchtes Phishing-Toolkit namens iAuthFlow v2 versetzt die IT-Sicherheitswelt in Alarmbereitschaft. Wie Sicherheitsforscher von Abnormal AI berichten, wurde dieses Werkzeug in einem russischsprachigen Hackerforum entdeckt. Es zeichnet sich durch eine besonders perfide Methode aus, um dauerhaften Zugriff auf kompromittierte Nutzerkonten zu erlangen. Während herkömmliche Phishing-Angriffe oft darauf abzielen, Anmeldedaten für einen einmaligen Zugriff oder eine laufende Sitzung abzugreifen, geht iAuthFlow v2 einen entscheidenden Schritt weiter. Das Toolkit nutzt Passkeys, um eine persistente Hintertür in den Konten der Opfer zu etablieren. Dies geschieht, indem das System nach der erfolgreichen Erschleichung der Zugangsdaten automatisch einen eigenen Passkey für das Konto des Opfers registriert. Selbst wenn der rechtmäßige Kontoinhaber den Betrug bemerkt und sein Passwort ändert, bleibt der Zugriff für den Angreifer bestehen. Diese neue Qualität der Bedrohung macht klassische Sicherheitsmaßnahmen wie das Zurücksetzen von Passwörtern oder das Beenden aktiver Sitzungen weitgehend wirkungslos, da der Angreifer sich über den hinterlegten Passkey jederzeit erneut authentifizieren kann. Damit stellt das Toolkit eine erhebliche Gefahr für die digitale Identität und die Privatsphäre von Nutzern dar, die auf großen Plattformen wie Google, Microsoft, Apple oder LinkedIn aktiv sind.

Die Funktionsweise des iAuthFlow v2 Toolkits

Die technische Umsetzung des Angriffs ist hochgradig automatisiert und auf Effizienz ausgelegt. Laut den Analysen der Sicherheitsforscher von Abnormal AI, die sich auf Onlinebeiträge und Demonstrationsvideos des Anbieters stützen, läuft der Prozess in mehreren Schritten ab. Zunächst wird das Opfer auf eine täuschend echt wirkende Phishing-Seite gelockt. Dort gibt der Nutzer seine Zugangsdaten sowie den Code der Zwei-Faktor-Authentifizierung (2FA) ein. Diese Daten werden in Echtzeit an einen Server des Angreifers übermittelt. Im Hintergrund nutzt das Toolkit einen eigenen Webbrowser, der sich automatisch mit den erbeuteten Daten beim entsprechenden Dienst, etwa Google, anmeldet. Innerhalb von nur wenigen Sekunden wird dann ein neuer Passkey im Namen des Opfers erstellt und mit den Systemen der Angreifer verknüpft. Der Anbieter des Toolkits verlangt für den Zugang zu dieser Software mindestens 10.000 US-Dollar. Zusätzlich können weitere Module erworben werden, die den Funktionsumfang erweitern. Die Demonstrationen zeigen eindrucksvoll, wie nahtlos dieser Prozess abläuft und wie wenig Zeit die Angreifer benötigen, um eine dauerhafte Kontrolle über ein fremdes Konto zu übernehmen, ohne dass der Nutzer den Vorgang bemerkt.

Der Hintergrund der technologischen Entwicklung

Die Einführung von Passkeys wurde ursprünglich als bedeutender Fortschritt für die Sicherheit im Internet gefeiert. Sie sollten Passwörter ersetzen und durch kryptografische Schlüsselpaare eine sicherere und benutzerfreundlichere Authentifizierung ermöglichen. Doch genau diese Technologie, die eigentlich vor Phishing schützen sollte, wird nun von den Entwicklern des iAuthFlow v2 Toolkits zweckentfremdet. Die Vorgeschichte zeigt, dass Cyberkriminelle ihre Methoden ständig an neue Sicherheitsstandards anpassen. Während früher das Abfangen von Passwörtern im Vordergrund stand, verlagert sich der Fokus nun auf die Persistenzmechanismen, die moderne Authentifizierungssysteme bieten. Die Forscher von Abnormal AI haben die Entwicklung dieses Toolkits in Hackerforen und über Telegram-Kanäle beobachtet. Es ist ein Beispiel dafür, wie professionell organisierte Kriminelle heute Software entwickeln, vermarkten und verkaufen. Die Tatsache, dass das Toolkit nicht nur für Google-Konten, sondern auch für Microsoft, Apple und LinkedIn beworben wird, unterstreicht die breite Anwendbarkeit und das Potenzial für großflächige Angriffe. Die Entwickler haben offenbar erhebliche Ressourcen in die Automatisierung investiert, um die Hürden für weniger versierte Angreifer zu senken, die dennoch hochwirksame Angriffe durchführen wollen.

Die Akteure und betroffene Institutionen

In diesem Szenario stehen sich verschiedene Akteure gegenüber. Auf der einen Seite stehen die Sicherheitsforscher von Abnormal AI, die das Toolkit analysiert und die Öffentlichkeit vor den Gefahren gewarnt haben. Sie fungieren als Beobachter und Analysten, die versuchen, die Methoden der Angreifer zu entschlüsseln, ohne das Toolkit selbst in einer Live-Umgebung zu testen. Auf der anderen Seite stehen die anonymen Entwickler und Anbieter des iAuthFlow v2 Toolkits, die in russischsprachigen Hackerforen agieren und ihre Software gegen hohe Summen in US-Dollar vertreiben. Betroffen sind die Nutzer der großen IT-Plattformen, namentlich Google, Microsoft, Apple und LinkedIn. Diese Unternehmen sind zwar nicht direkt für das Toolkit verantwortlich, ihre Authentifizierungssysteme bilden jedoch die Zielscheibe der Angriffe. Die Nutzer, die auf die Phishing-Seiten hereinfallen, sind die Leidtragenden, deren Konten gekapert werden. Die Kommunikation zwischen den Anbietern des Toolkits und potenziellen Käufern findet über Telegram statt, was die Rückverfolgung der Akteure erschwert. Es ist ein Katz-und-Maus-Spiel zwischen den Sicherheitsforschern, die vor den neuen Methoden warnen, und den Kriminellen, die ständig neue Wege suchen, um die Sicherheitsbarrieren der großen Plattformen zu umgehen.

Einordnung der Sicherheitslage

Einzuordnen ist das so: Die Bedrohung durch iAuthFlow v2 markiert eine neue Eskalationsstufe im Bereich des Identitätsdiebstahls. Den Berichten zufolge ist das Hauptproblem nicht mehr nur der Diebstahl von Anmeldedaten, sondern die dauerhafte Etablierung einer Hintertür durch die Registrierung von Passkeys. Dies hebelt die bisher als sicher geltende Praxis des Passwort-Resets aus. Normalerweise führt das Zurücksetzen eines Passworts dazu, dass alle aktiven Sitzungen eines Nutzers beendet werden, was einen Angreifer aus dem System aussperrt. Da der Passkey jedoch als legitime Authentifizierungsmethode im Konto hinterlegt ist, erkennt das System des Dienstleisters den Angreifer auch nach einer Passwortänderung weiterhin als berechtigten Nutzer an. Dies ist eine fundamentale Änderung der Spielregeln. Die Forscher betonen, dass es für die Sicherheit der Konten nicht ausreicht, nur das Passwort zu ändern. Es ist eine gründliche Bereinigung aller Authentifizierungsmethoden erforderlich. Dies bedeutet, dass Nutzer bei einem Verdacht auf Phishing nicht nur ihre Anmeldedaten sichern, sondern proaktiv alle unbekannten oder nicht autorisierten Geräte und Passkeys aus ihrem Sicherheitsbereich entfernen müssen. Die Sicherheit hängt nun stärker denn je von der Wachsamkeit des Nutzers ab.

Offene Fragen zur Bedrohungslage

Trotz der detaillierten Analyse durch Abnormal AI bleiben einige Fragen offen, die der Quelltext nicht beantworten kann. Zunächst ist unklar, wie viele Konten bereits tatsächlich durch das iAuthFlow v2 Toolkit kompromittiert wurden. Es gibt keine Informationen über die Anzahl der verkauften Lizenzen oder die tatsächliche Verbreitung der Software in der kriminellen Szene. Auch ist nicht bekannt, ob die betroffenen Plattformen wie Google oder Microsoft bereits spezifische Gegenmaßnahmen ergriffen haben, um die automatisierte Registrierung von Passkeys durch solche Toolkits zu unterbinden oder zu erschweren. Der Quelltext enthält zudem keine Angaben dazu, wie die Forscher die Wirksamkeit des Toolkits bewerten, ohne es selbst in einer Live-Umgebung getestet zu haben. Es bleibt offen, ob das Toolkit in der Praxis immer so reibungslos funktioniert, wie es in den Demonstrationsvideos der Anbieter suggeriert wird. Auch die Identität der Entwickler hinter dem Toolkit bleibt völlig im Dunkeln. Es gibt keine Hinweise darauf, ob es sich um eine einzelne Person oder eine organisierte Gruppe handelt. Diese Lücken im Wissen machen es schwierig, das Ausmaß der Gefahr präzise einzuschätzen und die Wirksamkeit der empfohlenen Gegenmaßnahmen in jedem Einzelfall zu garantieren.

Wie es mit der Sicherheit weitergeht

Die Sicherheitsforscher von Abnormal AI haben klare Handlungsempfehlungen für betroffene Nutzer formuliert. Wer den Verdacht hat, Opfer eines Phishing-Angriffs geworden zu sein, muss nach der Passwortänderung zwingend sein Konto auf weitere verdächtige Aktivitäten hin untersuchen. Dies beinhaltet das explizite Entfernen von Passkeys oder Kontowiederherstellungsmethoden, die nicht vom Nutzer selbst eingerichtet wurden. Die Forscher betonen, dass eine solche Bereinigung absolut notwendig ist, da weder das Zurücksetzen des Passworts noch das Widerrufen von Sitzungen einen vom Angreifer registrierten Passkey entfernt. Ein kompromittiertes Konto sollte erst dann wieder als sicher betrachtet werden, wenn alle nicht autorisierten Authentifizierungsmethoden und andere Persistenzmechanismen vollständig gelöscht wurden. Es ist davon auszugehen, dass die betroffenen Plattformen ihre Sicherheitsmechanismen kontinuierlich anpassen werden, um die automatisierte Einrichtung von Passkeys durch externe Skripte zu verhindern. Nutzer sind daher gut beraten, ihre Kontoeinstellungen regelmäßig zu überprüfen und bei ungewöhnlichen Aktivitäten sofort zu reagieren. Die Entwicklung von iAuthFlow v2 zeigt, dass die digitale Sicherheit ein dynamischer Prozess ist, der ständige Aufmerksamkeit erfordert.