Eine E-Mail vom Chef. Sie wirkt dringend, bittet um eine Überweisung an einen neuen Lieferanten. Absender, Signatur und Stil passen. Du zögerst kurz. Du klickst nicht auf einen Link – die Mail kam von seiner echten Adresse. Was du nicht siehst: Hinter dieser Nachricht steht kein erfahrener Hacker. Sondern ein Browser-Dashboard, das ein KI-Assistent programmiert hat. Der Angreifer bedient das Dashboard – und besitzt selbst kaum IT-Kenntnisse. Er hat sich ein Phishing-as-a-Service-Abo gekauft. Das ist die neue Realität der Cyberkriminalität.
Ein Sicherheitsteam stieß bei der Untersuchung eines Vorfalls auf zwei unbekannte Phishing-Kits: TokenVault // 2026 und Yakhub/Yaksha. Die Forscher tauften sie TokenLover und YaksaLover. Beide Kits tarnen sich als legitime SaaS-Produkte – mit Preisseiten, Dashboards, abgestuften Benutzerkonten. Beide wurden mit KI entwickelt. Das erkennt man an Code-Struktur und KI-typischen Kommentaren. Beide automatisieren den Weg vom gestohlenen Login bis zur gefälschten Rechnung. Es geht nicht mehr um einzelne geniale Angreifer. Es geht um Industrialisierung.
Phishing als Abo-Modell
Business Email Compromise (BEC) gehört zu den teuersten und häufigsten Angriffen. Bisher brauchte ein Angreifer viel Wissen über OAuth, Token-Manipulation und Post-Exploitation. Dieses Wissen steckt jetzt in einem benutzerfreundlichen Dashboard. Die beiden Kits sind ein CRM für gestohlene Microsoft-365-Identitäten. Dazu kommen Kampagnen-Manager, KI-Analyst und Automatisierungs-Engine. Der Betreiber bearbeitet mehrere Opfer parallel, ohne manuelle Schritte. Die Bezahlung läuft über gestaffelte Abos – je mehr Sitzungen und Features, desto teurer.
Wie die Kits arbeiten: Fünf Schritte der Kompromittierung
Der Angriff läuft in mehreren Phasen ab. Jeder Schritt ist für sich bekannt. Die Innovation liegt in der Verkettung und der Benutzerführung.
Schritt 1: Device-Code-Phishing
Der Einstieg ist ein alter Trick: Device-Code-Authentifizierung. Microsoft bietet diesen Login-Weg für Geräte ohne Browser an, etwa Spielkonsolen oder Fernseher. Der Angreifer fordert einen solchen Code für eine Microsoft-App an und schickt ihn dem Opfer – meist in einer plausibel wirkenden Nachricht. Das Opfer geht auf microsoft.com/devicelogin, gibt den Code ein und bestätigt die Anmeldung inklusive Multi-Faktor-Authentifizierung auf der echten Microsoft-Seite. Der Angreifer hat nichts Illegales getan: Der Token wurde vom Opfer selbst ausgestellt. TokenLover verwendet drei Client-Konfigurationen: Office-Standard (für Mail, Kalender, Teams), Admin (erweiterte Graph-Berechtigungen) und den Broker-Client (ID 29d9ed98-a469-4536-ade2-f981bc1d605e). Die Broker-ID ist entscheidend: Sie erlaubt die Geräteregistrierung in Entra ID, was den Weg zu einem Primary Refresh Token (PRT) ebnet. Sobald das Opfer den Code eingegeben hat, wird der Token automatisch an die Angreiferplattform übertragen – innerhalb von 15 Minuten, bis der Device-Code verfällt.
Schritt 2: FOCI-Pivot – Ein Token für alle Dienste
Mit dem frischen Token greift das Kit auf eine Eigenschaft namens FOCI (Family of Client IDs) zu. Das ist eine Gruppe von Microsoft-Erstanbieter-Apps, die ihre Refresh-Tokens untereinander teilen. Ein einmal erhaltener Token lässt sich gegen Zugriffstoken für Outlook, Graph API, Teams, SharePoint, OneDrive und Azure Management tauschen. TokenLover ruft /api/v1/auth/refresh/to-all auf und erhält in einem Rutsch alle nötigen Tokens. Das Modul TokenTacticsV2 ist öffentlich bekannt. Das Kit automatisiert nur den Abruf.
Schritt 3: Windows-Hello-Key-Injektion – Überleben nach Passwortwechsel
Der nächste Schritt läuft automatisch: Sobald ein neuer Token im Tresor landet, startet die Funktion autoInjectNewTokens. Sie generiert ein RSA-2048-Schlüsselpaar und registriert es als synthetischen Windows-Hello-for-Business-Schlüssel (NGC – Next Generation Credential) im Entra-ID-Konto des Opfers. Damit kann das Kit jederzeit einen neuen Primary Refresh Token ausstellen, ohne das Passwort zu kennen. Ein Passwortwechsel allein reicht nicht mehr, um den Angreifer zu vertreiben. Das Administrationspanel zeigt eine Metrik namens „password change survival rate“ an. Der Betreiber sieht, wie viele Opfer auch nach einer Passwortänderung kompromittiert bleiben. Die Technik wurde im Oktober 2023 von Dirk-jan Mollema dokumentiert. TokenLover macht sie zur Ein-Klick-Operation.
Schritt 4: ESTS-Cookies – Browserzugang ohne MFA
Mit dem PRT oder NGC-Schlüssel lassen sich Browser-Cookies erzeugen. Der Angreifer kann sich im Browser des Opfers anmelden, ohne erneut die MFA durchlaufen zu müssen. Das Kit bietet fünf Wege, um ESTS-Cookies zu generieren – unter anderem über den OWA-Pfad, der manche Conditional-Access-Richtlinien umgeht. Die Cookies werden als JavaScript-Snippet ausgegeben. Der Angreifer fügt es in die Entwicklertools von login.microsoftonline.com ein. Danach hat er vollen Browserzugriff auf das Konto.
Schritt 5: Post-Exploitation mit KI
Das Dashboard von TokenLover enthält eine versteckte „Exploit Dashboard“-Sektion. Sie war bei dieser Installation ausgeblendet, im Quellcode aber vollständig vorhanden. Sie führt vier Phasen automatisiert aus: Recon (Aufklärung), Pillage (Ausbeutung), Persistence (Nachhaltigkeit) und Attack Paths (Angriffspfade). Ein Kit verfügt über eine KI-Pipeline, die gelesene Postfächer analysiert und Zahlungsströme, Rechnungen und offene Salden einer Organisation kartiert. Der Angreifer muss nicht selbst suchen – die KI findet die lukrativsten Ziele. Die acht vordefinierten Angriffspfade umfassen Group-Privilege-Escalation, Dynamic-Group-Abuse und App-Persistence. All das wird aus einer einzigen Oberfläche gesteuert.
YaksaLover – Der zweite Kandidat
Parallel zu TokenLover entdeckten die Forscher ein zweites Kit: YaksaLover. Im Login-Bereich zeigt es zunächst nur eine Anmeldeoberfläche. Nach genauerer Analyse zeigte sich, dass es in einigen Aspekten weiter entwickelt ist, in anderen rudimentär. YaksaLover enthält einen integrierten E-Mail-Client und kann Phishing-Mails direkt aus dem kompromittierten Postfach des Opfers versenden. Die Mails passieren SPF- und DKIM-Prüfungen und sind von legitimen internen Nachrichten kaum zu unterscheiden. Auch YaksaLover nutzt KI-unterstützte Entwicklung und setzt auf Device-Code-Phishing, PRT-Diebstahl und NGC-Persistenz.
Was ist die KI wirklich?
Die Kits sind „vibe-coded“, wie die Forscher sagen. Der Quellcode zeigt typische KI-Muster, die ein menschlicher Entwickler so nicht geschrieben hätte – seltsame Em-Dashes in Kommentaren, übermäßige Wiederholungen, inkonsistente Benennungen. Die KI wurde zum Testen und Generieren von Code verwendet, nicht zum Erkunden neuer Sicherheitslücken. Die eigentliche Innovation ist die Automatisierung. Wo früher ein versierter Angreifer stundenlang Tokens extrahieren, auswerten und nutzen musste, reicht heute ein Dashboard und ein bezahltes Abo. Der Anbieter kann mit der KI sogar die Postfachinhalte automatisiert analysieren und die vielversprechendsten Rechnungen zur Manipulation vorschlagen. Das senkt die Einstiegshürde deutlich.
Keine neue Technik – aber neue Dimension
Alle verwendeten Methoden sind öffentlich dokumentiert, teilweise von Microsofts eigenem Threat Intelligence Team. Device-Code-Phishing, FOCI-Pivoting, NGC-Key-Injektion, ESTS-Cookie-Generierung – keine Zero-Days. Entscheidend ist der Skalierungseffekt. Die Kits erlauben einem einzigen Operator, Dutzende Opfer parallel zu bearbeiten, ohne tiefe technische Kenntnisse. Das ist der Schritt vom gezielten Angriff zur Massenware. Das Forscherteam betont, dass diese Kits erst vor Kurzem aufgetaucht sind und dass die Industrie sich darauf einstellen muss.
Was das für Unternehmen bedeutet
Ein einfacher Passwortwechsel reicht nicht mehr. Die Kits können durch NGC-Keys persistieren, die Administrationspanels zeigen dem Angreifer die Überlebensrate. Unternehmen müssen ihre Incident-Response-Strategie anpassen: Nach einem Device-Code-Phishing-Vorfall müssen Passwort, Geräteregistrierung und alle Sitzungen zurückgesetzt werden. Zusätzlich sollten NGC-Schlüssel manuell entfernt werden. Die Sicherheitsforschung muss künftig stärker auf die Erkennung solcher Dashboard-artigen Backends setzen – nicht nur auf einzelne Phishing-Mails. Diese Kits hinterlassen Spuren im Netzwerkverkehr und in den Azure-Protokollen, wenn sie Tokens austauschen und NGC-Schlüssel registrieren. Mit geeigneten Monitoring-Regeln lassen sich diese Anomalien erkennen.
Angreifer haben Zugang zu denselben KI-Tools wie wir. Sie nutzen sie, um ihre Werkzeuge schneller und massentauglicher zu machen. Das bedeutet nicht, dass wir den Kampf verlieren – aber wir müssen die Spielregeln neu lernen. Phishing ist nicht mehr nur eine E-Mail-Falle, sondern eine Plattform-Infektion mit automatisierter Nachbereitung. Die Eintrittskarte ist gebührenpflichtig. Wer den Produktionsprozess kennt, kann auch die Fehler darin finden.
Quelle: research.eye.security
