Device-Code-Phishing-Angriffe steigen um das 37-Fache: 11 neue Kits, China-nahe TA416 nimmt europäische Regierungen ins Visier, LinkedIn BrowserGate scannt mehr als 6.000 Erweiterungen, Qilin-Ransomware trifft deutsche Partei

OAuth-Device-Code-Phishing-Angriffe sind 2026 um das 37-Fache gestiegen, da mindestens 11 Phishing-as-a-Service-Kits die Technik allgemein zugänglich machen. Chinas TA416 APT nimmt mit einer aktualisierten PlugX-Version erneut aggressiv europäische Regierungen ins Visier. LinkedIn wurde dabei ertappt, heimlich mehr als 6.000 Browsererweiterungen zu scannen. Die Qilin-Ransomware stiehlt Daten der deutschen Partei Die Linke. Die kryptowährungsstehlende Malware SparkCat kehrt in die App-Stores von iOS und Android zurück.

1. Device-Code-Phishing-Angriffe steigen um das 37-Fache – jetzt sind 11 PhaaS-Kits verfügbar

Sicherheitsforscher von Push Security haben einen explosionsartigen Anstieg des Device-Code-Phishings dokumentiert. Bei dieser Technik wird der OAuth 2.0 Device Authorization Grant Flow missbraucht, der für Geräte mit eingeschränkten Eingabemöglichkeiten wie Smart-TVs und IoT-Hardware entwickelt wurde. Der Angriff verleitet Opfer dazu, einen vom Angreifer generierten Gerätecode auf einer legitimen Microsoft-Anmeldeseite einzugeben. Dadurch gewähren sie dem Angreifer unwissentlich dauerhaften Zugriff über gültige Token.

So funktioniert der Angriff

Der Bedrohungsakteur sendet eine Geräteautorisierungsanfrage an den Identitätsanbieter und erhält einen Code. Dieser Code wird dem Opfer über Phishing-Köder zugespielt – typischerweise über Seiten mit SaaS-Bezug, die DocuSign, SharePoint, Microsoft Teams oder Adobe nachahmen. Gibt das Opfer den Code auf der legitimen Anmeldeseite ein, erhält das Gerät des Angreifers gültige Zugriffs- und Aktualisierungstoken, wodurch MFA vollständig umgangen wird.

11 konkurrierende Phishing-Kits

Die Anfang dieser Woche von Sekoia dokumentierte Phishing-as-a-Service-Plattform EvilTokens war der wichtigste Treiber für die breite Verbreitung. Push Security identifizierte jedoch 10 weitere konkurrierende Kits:

• VENOM – Closed-Source-Kit mit Device-Code-Phishing- und AiTM-Funktionen; scheint ein Klon von EvilTokens zu sein
• SHAREFILE – Köder im Stil von Citrix ShareFile mit Node-basierten Backends
• CLURE – SharePoint-Design mit wechselnden API-Endpunkten auf DigitalOcean
• LINKID – Köder im Stil von Microsoft Teams und Adobe mit Cloudflare-Prüfungen
• AUTHOV – Auf workers.dev gehostet, mit popupbasierter Eingabe des Gerätecodes
• DOCUPOLL – Auf GitHub Pages gehostete Nachbildungen von DocuSign-Arbeitsabläufen
• FLOW_TOKEN – Tencent-Cloud-Backend mit Ködern im Personalwesen-Stil
• PAPRIKA – Auf AWS S3 gehostete Microsoft-Anmeldeklone mit gefälschter Okta-Fußzeile
• DCSTATUS – Minimales Kit mit generischen Microsoft-365-Ködern
• DOLCE – Auf PowerApps gehostet, vermutlich eine Red-Team-Implementierung

Empfehlungen zur Abwehr

• Den Device Authorization Grant Flow über Richtlinien für bedingten Zugriff deaktivieren, sofern er nicht benötigt wird
• Protokolle des Identitätsanbieters auf unerwartete Device-Code-Authentifizierungsereignisse überwachen
• Bei Sitzungen von ungewöhnlichen IP-Adressen oder geografischen Standorten Warnmeldungen auslösen
• Wo möglich, FIDO2- beziehungsweise Passkey-basierte Authentifizierung implementieren
• Benutzer darin schulen, Device-Code-Phishing-Köder zu erkennen

2. China-nahe TA416 nimmt europäische Regierungen erneut mit PlugX ins Visier

Forscher von Proofpoint haben die erneute Spionagekampagne von TA416 gegen europäische Regierungs- und Diplomatenorganisationen seit Mitte 2025 dokumentiert. Die China-nahe Gruppe, die Überschneidungen mit DarkPeony, RedDelta, Red Lich, SmugX, UNC6384 und Vertigo Panda aufweist, nahm diplomatische Vertretungen bei der EU und NATO in mehreren europäischen Ländern ins Visier.

Sich weiterentwickelnde Angriffskette

TA416 hat seine Infektionstechniken im Verlauf der Kampagne kontinuierlich weiterentwickelt:

• Missbrauch von Cloudflare Turnstile – Nutzung legitimer CAPTCHA-Prüfseiten, um die Auslieferung von Malware zu kontrollieren
• Ausnutzung von OAuth-Weiterleitungen – Missbrauch von Microsoft-Entra-ID-Cloudanwendungen und OAuth-Autorisierungsendpunkten, um Opfer auf von Angreifern kontrollierte Domains umzuleiten
• Missbrauch von C#-Projektdateien – Nutzung von MSBuild zur automatischen Kompilierung schädlicher CSPROJ-Dateien, die als PlugX-Downloader fungieren
• Diversifizierung des Cloud-Hostings – Hosting schädlicher Archive auf Azure Blob Storage, Google Drive und kompromittierten SharePoint-Instanzen

Expansion in den Nahen Osten

Neben Europa hat TA416 nach dem Konflikt zwischen den USA, Israel und Iran Ende Februar 2026 auch Kampagnen gegen diplomatische und staatliche Einrichtungen im Nahen Osten gestartet, vermutlich um regionale Geheimdienstinformationen zu sammeln.

Technische Details

Die Angriffskette vom Februar 2026 lädt Archive von Google Drive oder kompromittierten SharePoint-Instanzen herunter, die eine legitime ausführbare MSBuild-Datei und eine schädliche C#-Projektdatei enthalten. Die CSPROJ-Datei dekodiert drei Base64-kodierte URLs, um ein DLL-Sideloading-Trio von einer durch TA416 kontrollierten Domain abzurufen. Dadurch wird PlugX über die für die Gruppe charakteristische DLL-Sideloading-Technik ausgeführt.

Indikatoren und Gegenmaßnahmen

• Auf unerwartete MSBuild-Ausführungen außerhalb von Entwicklungsumgebungen überwachen
• Bekannte C2-Infrastruktur von TA416 auf Netzwerkebene blockieren
• OAuth-Anwendungsberechtigungen in Entra ID auf nicht autorisierte Drittanbieter-Apps prüfen
• Erkennung von Zählpixeln in E-Mail-Sicherheitsgateways aktivieren
• Bei DLL-Sideloading-Mustern unter Beteiligung legitimer ausführbarer Dateien Warnmeldungen auslösen

3. LinkedIn „BrowserGate“ – Microsoft-Plattform scannt mehr als 6.000 Chrome-Erweiterungen

Ein von Fairlinked e.V. als „BrowserGate“ bezeichneter Bericht enthüllt, dass Microsofts LinkedIn verstecktes JavaScript verwendet, um die Browser von Besuchern auf installierte Erweiterungen zu scannen und Gerätedaten zu erfassen. BleepingComputer bestätigte die Behauptungen unabhängig und beobachtete eine von der LinkedIn-Website geladene JavaScript-Datei mit zufällig generiertem Dateinamen, die nach 6.236 Browsererweiterungen suchte.

Was LinkedIn erfasst

• Browsererweiterungen – Scannt nach 6.236 Erweiterungen, darunter mehr als 200 konkurrierende Vertriebstools wie Apollo, Lusha und ZoomInfo
• Anzahl der CPU-Kerne und verfügbarer Arbeitsspeicher
• Bildschirmauflösung und Zeitzone
• Spracheinstellungen und Akkustatus
• Audioinformationen und Speicherfunktionen

Wachsender Umfang

Das Scannen von Erweiterungen wurde zunehmend ausgeweitet: von etwa 2.000 Erweiterungen im Jahr 2025 über 3.000 vor zwei Monaten auf derzeit 6.236. Neben LinkedIn-bezogenen Erweiterungen erkennt das Skript auch Sprachtools, Grammatikerweiterungen, Werkzeuge für Steuerfachleute und scheinbar nicht damit zusammenhängende Funktionen.

Bedenken hinsichtlich der Wettbewerbsbeobachtung

Der Bericht behauptet, LinkedIn nutze diese Daten, um zu erfassen, welche Unternehmen konkurrierende Produkte verwenden, und extrahiere dadurch faktisch Kundenlisten von Wettbewerbern aus den Browsern der Benutzer. LinkedIn soll Nutzern von Drittanbieter-Tools auf Grundlage von Daten, die durch das heimliche Scannen gewonnen wurden, mit Durchsetzungsmaßnahmen gedroht haben.

Reaktion von LinkedIn

LinkedIn bestreitet die Erkennung von Erweiterungen nicht, erklärt die Praxis jedoch mit dem Schutz der Plattform. Das Unternehmen gibt an, das Konto des Berichtsautors sei wegen Scraping und Verstößen gegen die Nutzungsbedingungen gesperrt worden. Laut LinkedIn hilft die Erkennung von Erweiterungen dabei, Tools zu identifizieren, die ohne Zustimmung der Mitglieder Daten auslesen.

4. Qilin-Ransomware stiehlt Daten der deutschen Partei Die Linke

Die Qilin-Ransomware-Gruppe hat die Verantwortung für einen Angriff auf Die Linke übernommen, eine deutsche demokratisch-sozialistische Partei, die derzeit mit 64 Abgeordneten im Bundestag vertreten ist und 123.000 eingetragene Mitglieder hat. Der Angriff vom 27. März führte zu einem Ausfall der IT-Systeme in der Parteizentrale.

Was gestohlen wurde

• Sensible interne Daten aus den Organisationssystemen der Partei
• Personenbezogene Informationen von Beschäftigten der Parteizentrale
• Die Mitgliederdatenbank wurde nicht kompromittiert – den Angreifern gelang es nicht, Mitgliederdaten zu erlangen

Politische Dimensionen

Die Linke beschrieb die Angreifer als russischsprachige Cyberkriminelle mit finanziellen und politischen Motiven und erklärte, der Angriff „scheint kein Zufall zu sein“. Die Partei bezeichnete Ransomware-Angriffe auf politische Organisationen als „Teil hybrider Kriegsführung“ und als „Angriff auf kritische Infrastruktur“. Mit Russland in Verbindung stehende Gruppen haben bereits zuvor deutsche Parteien ins Visier genommen – 2024 griff APT29 die CDU mit der WineLoader-Hintertür an.

Ergriffene Maßnahmen

• Deutsche Behörden wurden informiert und Strafanzeige wurde erstattet
• Unabhängige IT-Experten wurden mit der Wiederherstellung der Systeme beauftragt
• Qilin nahm Die Linke am 1. April auf seiner Leak-Seite auf, ohne Datenproben zu veröffentlichen
• Die Drohung mit einer Datenveröffentlichung wird als Druckmittel zur Erpressung einer Lösegeldzahlung eingesetzt

5. Kryptowährungsstehlende SparkCat-Malware kehrt in die App-Stores von iOS und Android zurück

Forscher von Kaspersky haben sowohl im Apple App Store als auch im Google Play Store eine neue Version der SparkCat-Malware entdeckt – mehr als ein Jahr nach der ersten Dokumentation des Trojaners. Die Malware verbirgt sich in scheinbar harmlosen Apps wie Unternehmens-Messengern und Essenslieferdiensten, während sie unbemerkt die Fotogalerien der Opfer nach Wiederherstellungsphrasen von Kryptowährungs-Wallets durchsucht.

Technische Weiterentwicklung

• Codevirtualisierung – Neue Verschleierungsschichten erschweren die Analyse erheblich
• Plattformübergreifende Programmiersprachen – Umgehen herkömmliche Analysewerkzeuge
• OCR-basierte Extraktion – Nutzt optische Zeichenerkennung, um Wallet-Seed-Phrasen in Screenshots zu identifizieren
• Mehrsprachige Zielausrichtung – Die Android-Version sucht nach japanischen, koreanischen und chinesischen Schlüsselwörtern; die iOS-Variante sucht nach englischen mnemonischen Phrasen und erreicht damit potenziell ein breiteres Publikum

Umfang und Zuordnung

Kaspersky fand zwei infizierte Apps im App Store und eine bei Google Play, die hauptsächlich Kryptowährungsnutzer in Asien ins Visier nahmen. Die Operation wird einem chinesischsprachigen Akteur zugeschrieben. Da die iOS-Variante englischsprachige Inhalte durchsucht, kann sie potenziell eine größere Reichweite erzielen und Nutzer weltweit unabhängig von ihrer Region betreffen.

Schutzmaßnahmen für Benutzer

• Niemals Screenshots oder Fotos von Wiederherstellungsphrasen für Kryptowährungs-Wallets erstellen
• App-Berechtigungen prüfen – bei Anforderungen auf Zugriff auf die Fotogalerie durch nicht damit zusammenhängende Apps misstrauisch sein
• Mobile Sicherheitslösungen verwenden, die nach bekannten Malware-Signaturen suchen
• Seed-Phrasen ausschließlich offline auf physischen Medien speichern

Zusammenfassung der Bedrohungslage