Mail.ReadWrite OAuth-Missbrauch: KQL & SOAR — Akuity SOC

In modernen Cloud-Angriffsszenarien weicht der klassische Diebstahl von Zugangsdaten zunehmend dem Missbrauch legitimer Protokolle. OAuth Consent Phishing (kartiert unter MITRE ATT&CK T1078.004) hat sich zu einer hochgradig effektiven Methode entwickelt, um Führungskräfte unbemerkt zu überwachen. Indem ein Benutzer zur Genehmigung einer bösartigen Drittanbieter-Anwendung mit dem Scope Mail.ReadWrite verleitet wird, umgeht der Angreifer etablierte Schutzmechanismen: Es wird kein Passwort entwendet, kein Conditional-Access-MFA-Trigger ausgelöst, und der Datenabfluss erfolgt nahtlos über die offizielle Microsoft Graph API.

Anatomie des Angriffs: Blindes Vertrauen in OAuth-Workflows

Der Angriff beginnt in der Regel mit einer präzisen Phishing-Mail, die zur Freigabe eines Dokuments oder zur Autorisierung eines Cloud-Tools auffordert. Der Klick führt direkt zur legitimen Anmelde- und Einwilligungsmaske von Microsoft Entra ID (ehemals Azure AD). Die Anwendung des Angreifers, die in einem externen Microsoft-Tenant gehostet wird, fordert weitreichende Berechtigungen an:

• Mail.ReadWrite: Vollständiger Lese-, Schreib- und Löschzugriff auf alle E-Mails im Postfach.
• Mail.Send: Versand manipulierter Nachrichten direkt aus der legitimen Identität für Business Email Compromise (BEC).
• MailboxSettings.ReadWrite: Konfiguration automatischer Weiterleitungsregeln zur dauerhaften, verdeckten Exfiltration.
• offline_access: Ausstellung von Refresh Tokens, die einen dauerhaften Zugriff ohne erneute Benutzerinteraktion sicherstellen.

Wird die Autorisierung unbedacht erteilt, greift der Angreifer per Skript direkt auf die Microsoft Graph API zu. Vertrauliche Korrespondenzen werden vollautomatisch nach Keywords durchsucht, ohne dass auf dem Endgerät des Benutzers ein EDR-Alarm ausgelöst wird.

Der native Blindspot in Entra ID und Conditional Access

Die Sicherheitslücke begründet sich in der Architektur von OAuth 2.0. Sofern die Tenant-Einstellungen von Microsoft Entra ID die Einwilligung durch reguläre Benutzer nicht strikt unterbinden, betrachtet die Plattform die Genehmigung als legitim. Richtlinien für Conditional Access greifen typischerweise beim interaktiven Login der Benutzer, evaluieren jedoch nicht die nachfolgenden Graph-API-Abfragen, die der Server des Angreifers über die erteilten Anwendungs-Tokens ausführt.

Erkennung mit KQL: Verdächtige Einwilligungen aufspüren

Um illegitime Berechtigungserteilungen im Keim zu ersticken, müssen SOC-Analysten die Telemetriedaten in CloudAppEvents mittels Advanced Hunting (KQL) kontinuierlich überwachen:

CloudAppEvents
| where ActionType in ("Consent to application", "Add delegated permission grant")
| extend TargetApp = tostring(RawEventData.Target[0].DisplayName),
         AppId = tostring(RawEventData.Target[0].Id),
         Initiator = tostring(RawEventData.InitiatedBy.User.UserPrincipalName)
| mv-expand Prop = RawEventData.ModifiedProperties
| where Prop.Name in ("ConsentAction.Permissions", "Scope")
| extend GrantedScopes = tostring(Prop.NewValue)
| where GrantedScopes has_any ("Mail.ReadWrite", "Mail.Read", "Mail.Send", "MailboxSettings.ReadWrite")
| extend IsSelfConsented = iff(Initiator =~ tostring(RawEventData.Target[1].DisplayName), true, false)
| project Timestamp, Initiator, TargetApp, AppId, GrantedScopes, IsSelfConsented, IPAddress = IPAddress
| order by Timestamp desc

Akuity SOC SOAR-Remediation: 1-Klick-Reaktion

Sobald eine bösartige Berechtigung identifiziert wurde, ermöglicht Akuity SOC eine sofortige und lückenlose Isolation des Angriffsvektors:

1. In-App Zero-Trust-Decodierung: Der KI-Assistent von Akuity SOC analysiert verdächtige Graph-Scopes im Hintergrund in unter 2 Sekunden – garantiert ohne Token-Abfluss an externe Web-Dienste.
2. Blitzschnelle 1-Klick SOAR-Reaktion: Sofortige Ausführung von revokeOAuthApp() zur Löschung des bösartigen Service Principals und Widerruf aller Grants, kombiniert mit revokeSessions() zur Entwertung aller aktiven Refresh Tokens des betroffenen Kontos.
3. Zertifizierte Governance und Nachvollziehbarkeit: Die Remediation erfordert eine MFA-AAL2-Bestätigung und wird unveränderbar auditiert – vollständig konform mit den Standards von NIS 2 und SOC 2 Type II.

Technisches Mini-FAQ: Postfach-Sicherheit & OAuth

Reicht ein Zurücksetzen des Kennworts aus, um den OAuth-Zugriff zu beenden?
Nein. Dies ist ein weit verbreiteter Irrtum. Die ausgestellten OAuth-Access- und Refresh-Tokens bleiben auch nach einer Passwortänderung gültig. Der Zugriff auf die Microsoft Graph API erlischt erst, wenn die spezifische Autorisierung (OAuth2PermissionGrant) gelöscht und alle Benutzersitzungen explizit widerrufen werden.

Wie lässt sich das Risiko einer Selbsteinwilligung präventiv minimieren?
Konfigurieren Sie in Microsoft Entra ID die Richtlinien für Benutzereinwilligungen so, dass für Apps mit sensiblen Berechtigungen wie Mail.ReadWrite zwingend ein Administrator-Genehmigungsworkflow (Admin Consent Workflow) erforderlich ist.