AVD im Visier: Forensik in gehijackten Azure-Virtual-Desktop-Umgebungen
12.07.2026 cloud-forensikazurevdilateral-movement
Virtual Desktop Infrastructure galt lange als Komfortfeature für Remote-Arbeit – ein Ort, an dem Nutzer bequem auf Unternehmensressourcen zugreifen, ohne dass IT-Teams sich um Endgeräte-Compliance sorgen müssen. Genau diese Bequemlichkeit macht Azure Virtual Desktop (AVD) inzwischen zu einem attraktiven Ziel für Angreifer. Microsofts eigenes Incident-Response-Team beobachtet das in aktuellen Engagements: Threat actors exploiting AVD deployments for lateral movement and persistence, indem sie legitime AVD-Benutzerkonten hijacken und dadurch einen vertrauenswürdigen “Endpoint” innerhalb des Netzwerks erhalten, ohne Malware installieren zu müssen.
Der Tatort ohne Tatwerkzeug
Was diese Angriffe forensisch so herausfordernd macht: Es gibt oft keine klassische Payload zu finden. In einem von Microsoft dokumentierten Fall kompromittierten Angreifer Identitäten und nutzten ihre AVD-Sessions, um über die AVD-VM als Sprungbrett per RDP auf andere on-premises Maschinen zuzugreifen. In einem anderen Fall durchsuchte ein Threat Actor über den Browser in AVD interne SharePoint-Seiten nach sensiblen Daten und geistigem Eigentum. Die Konsequenz: Angreifer können Identity Discovery betreiben, zwischen Cloud- und On-Premises-Grenzen pivotieren, Daten exfiltrieren und Ransomware-Operationen vorbereiten – was robustes Logging, Monitoring und Least-Privilege-Konfigurationen in virtuellen Desktop-Umgebungen zwingend erforderlich macht.
Verschärft wird das Bild durch strukturelle Schwachstellen der Plattform selbst. Eine 2025 bekannt gewordene Privilegien-Eskalationslücke in Azure Automation zeigte, wie ein Angreifer mit niedrigen Rechten theoretisch Sessions anderer Nutzer mitlesen, Audit-Logs manipulieren oder dauerhafte Backdoors in AVD-Umgebungen etablieren könnte – Szenarien, die exakt den in MITRE ATT&CK dokumentierten Taktiken entsprechen.
Drei Ebenen, ein flüchtiges Ziel
Forensiker müssen bei AVD-Vorfällen auf drei parallelen Ebenen ermitteln: Identity, Azure-Plattform und Host/Endpoint-Artefakte – jede Ebene liefert eigene Signale und Telemetrie, die korreliert werden müssen, um bösartige Aktivität aufzudecken und die Verweildauer zu reduzieren. Das eigentliche Problem liegt jedoch in der Architektur: Session Hosts sind oft ephemeral – häufig hoch- und heruntergefahren – sodass Offline-Evidenz wie Event-Logs oder Memory-Artefakte ohne proaktive Sammlung schnell verloren geht. Wird FSLogix zur Profilverwaltung eingesetzt, liegen Browserverlauf, NTUSER.DAT-Registry-Hives und weitere nutzerspezifische Spuren nicht auf dem Host selbst, sondern in VHD-Containern auf entferntem Storage – ein Detail, das viele klassische Incident-Response-Playbooks schlicht nicht vorsehen.
Wer vorbereitet sein will, muss die richtigen Diagnose-Logs aktivieren, bevor der Vorfall eintritt. Für Threat Hunting sind besonders relevant: WVDFeeds für verfügbare veröffentlichte Anwendungen inklusive Client-IP und -Typ, WVDConnections mit Client-IP-Adresse, ConnectionType und Host-Verbindungsdaten sowie WVDCheckpoints, das anzeigt, welche veröffentlichte Anwendung aufgerufen wurde und deren Ausführungspfad liefert. Fehlen diese Logs, bleibt oft nur die Rekonstruktion aus Identity-Provider-Daten – ein deutlich unschärferes Bild.
Für die eigentliche Beweissicherung empfiehlt Microsoft eine klare Priorisierung: Live- versus Offline-Collection – Live-Collection kann flüchtige Daten wie RAM wiederherstellen, verpasst aber möglicherweise Nutzerprofilinhalte, wenn FSLogix im Einsatz ist; in solchen Fällen sollte man sich auf Offline-Akquise konzentrieren, indem ein Snapshot der relevanten Disk oder des File-Shares erstellt und die zugehörige VHD heruntergeladen wird. Werkzeuge wie Velociraptor für Remote-Collection und Autopsy für Disk-Forensik kommen dabei ebenso zum Einsatz wie klassische Timeline-Tools.
Fazit für die Praxis
AVD-Forensik verlangt ein Umdenken: weg von der Suche nach bösartigen Binaries, hin zur Korrelation von Identitäts-, Plattform- und Session-Telemetrie über mehrere, oft kurzlebige Systeme hinweg. Organisationen, die VDI-Umgebungen betreiben, sollten Diagnose-Logging für Host-Pools, Application Groups und Workspaces proaktiv aktivieren, FSLogix-Storage in die Incident-Response-Playbooks integrieren und – wo lizenzrechtlich möglich – Session-Recording-Funktionen für hochsensible Umgebungen prüfen. Wer erst während des Vorfalls beginnt, Logging einzurichten, hat die Beweise bereits verloren.
← Zurück zur Übersicht