Microsoft Teams Anrufe starten Chaos Ransomware Angriffe

Was ist passiert

Das Cybersicherheitsunternehmen Sophos hat aufgedeckt, dass die Unternehmenskommunikationsplattform Microsoft Teams im Zentrum einer neuen und beunruhigenden Angriffskette steht. In dieser Kampagne, die als STAC4749 bezeichnet wird, geben sich Cyberangreifer als Mitarbeiter des IT-Supports oder des Helpdesks eines Unternehmens aus. Sie bauen Vertrauen zu gezielten Mitarbeitern durch Chat- und Sprachanrufe in Microsoft Teams auf und setzen dann die Chaos-Ransomware ein, die das gesamte Unternehmensnetzwerk bedroht. Diese raffinierte Social-Engineering-Kampagne, die zwischen Februar und Juni 2026 durchgeführt wurde, zielte auf Dutzende von Organisationen ab.

Laut der Analyse führten mindestens drei dieser Angriffe dazu, dass die Angreifer ihr Endziel erreichten und die Chaos-Ransomware erfolgreich einsetzten. In einem besonders bemerkenswerten Fall benötigten die Angreifer weniger als 17 Stunden vom ersten Zugriff bis zur Verschlüsselung von Dateien im Netzwerk, was zeigt, wie schnell und verheerend der Angriff sein kann. Diese Methode geht über traditionelle Phishing-E-Mails hinaus und nutzt eine Plattform, die ein wesentlicher Bestandteil des täglichen Arbeitsablaufs der Mitarbeiter ist und allgemein als sicher gilt. Die Angreifer nennen diese Angriffe, die über die Sprachanruffunktion von Teams durchgeführt werden, „Vishing“ (Voice Phishing), was ihre Fähigkeit verbessert, ihre Ziele leichter zu überzeugen und zu manipulieren.

Kompromittierte Daten

Der Quellbericht enthält keine spezifischen Informationen darüber, ob die Angreifer Daten exfiltriert haben. Das Hauptziel des Angriffs scheint die Bereitstellung der Chaos-Ransomware zu sein, um Dateien unzugänglich zu machen und im Gegenzug ein Lösegeld zu fordern. Bei Ransomware-Angriffen ist es eine gängige Taktik, zusätzlich zur Verschlüsselung von Dateien auch sensible Daten zu stehlen (eine Doppelerpressungstaktik), um das Opfer unter Druck zu setzen. Der Sophos-Bericht konzentriert sich jedoch nicht auf diese Phase der STAC4749-Kampagne. Die primären Auswirkungen des Angriffs sollen Betriebsstörungen und potenzielle finanzielle Verluste durch verschlüsselte Dateien sein.

Wie verlief der Angriff

Der von den Angreifern verfolgte Weg besteht aus mehreren sorgfältig geplanten Phasen. Diese Kette wird durch die Kombination von Social Engineering, das auf die menschliche Psychologie abzielt, und technischen Fähigkeiten äußerst effektiv.

Phase 1: Identitätsdiebstahl und Erstkontakt

Die Angreifer beginnen mit der Erstellung externer Microsoft Teams-Konten. Sie lassen diese Konten so aussehen, als gehörten sie einem Mitarbeiter des IT-Helpdesks oder des Support-Teams des Zielunternehmens. Während Angreifer in ähnlichen früheren Angriffen oft die eigene `onmicrosoft.com`-Domäne von Microsoft nutzten, um gefälschte Mandanten zu erstellen, unterscheidet sich die STAC4749-Kampagne an dieser Stelle. Um überzeugender zu wirken, kaufen die Angreifer benutzerdefinierte Domänen mit der „.top“-TLD, die IT-bezogen erscheinen. Zu den von Sophos geteilten Beispieldomänen gehören sequrityupdate[.]top, scan-security[.]top, system-connect[.]top, corp-connect[.]top und supportsoft[.]top. Diese Domänennamen erwecken den Eindruck eines Unternehmenssicherheitsupdates oder eines Support-Dienstes und verhindern, dass das Ziel misstrauisch wird.

Darüber hinaus verwenden sie zur Stärkung dieser gefälschten Identitäten gebräuchliche und vertrauenswürdig klingende Namen wie Anthony Brooks, Dylan Harper, Ethan Parker und Jason Mitchell. Es wurde beobachtet, dass jede gefälschte Identität mit einer bestimmten gefälschten Domäne gekoppelt war. Nach diesen Vorbereitungen senden sie eine Chatanfrage an den ausgewählten Mitarbeiter über Teams und initiieren dann einen Sprachanruf.

Phase 2: Vishing und Fernzugriff

Der Sprachanruf (Vishing) ist der kritischste Moment des Angriffs. Nach den Beobachtungen von Sophos können diese Anrufe zwischen 90 Sekunden und über 20 Minuten dauern, die meisten werden jedoch in durchschnittlich zwei bis zweieinhalb Minuten abgeschlossen. Diese kurze Dauer zeigt, dass die Angreifer gut vorbereitet, selbstbewusst und überzeugend sind. Während des Anrufs behauptet das gefälschte IT-Personal, dass auf dem Computer des Mitarbeiters ein dringendes Sicherheitsproblem besteht oder ein Update durchgeführt werden muss, und überzeugt ihn, eine Fernwartungssitzung zu starten.

Zu diesem Zweck bevorzugen sie anfangs das legitime Fernwartungstool von Microsoft, Quick Assist. Als sie jedoch feststellten, dass viele Unternehmen Quick Assist aufgrund von Sicherheitsrichtlinien blockieren oder einschränken, änderten sie ihre Strategie. Ab April wechselten sie zu einem weniger bekannten, cloudbasierten Fernverwaltungstool namens RemSupp, das seltener auf den Sperrlisten von Unternehmen steht. Wenn der Mitarbeiter eines dieser Tools installiert und dem Angreifer Zugriff gewährt, erlangen die Angreifer die volle Kontrolle über das Gerät des Opfers.

Phase 3: Malware-Download und Persistenz

Sobald der Fernzugriff hergestellt ist, verwenden die Angreifer das Befehlszeilentool PowerShell, um eine Backdoor-Malware in den `%AppData%`-Ordner des Opfers herunterzuladen. Diese Malware profiliert das System, richtet Persistenzmechanismen ein und verschafft den Angreifern kontinuierlichen Zugriff auf das Netzwerk.

Um einer Entdeckung zu entgehen, tarnen die Angreifer die von ihnen eingerichteten Persistenzmechanismen als legitime Systemkomponenten. Zum Beispiel geben sie den von ihnen in der Windows-Registrierung erstellten bösartigen Einträgen Namen wie "Realtek HD Audio", "Realtek Audio UHD" und "WinAudio life2", um den Eindruck zu erwecken, es handele sich um Standardkomponenten von Audiotreibern.

Phase 4: Laterale Bewegung und Ransomware-Einsatz

In Fällen, die zum Einsatz von Ransomware führten, unternahmen die Angreifer zusätzliche Schritte, um sich vom ursprünglich kompromittierten Gerät auf den Rest des Netzwerks auszubreiten. Um einen dauerhaften und redundanten Zugriff innerhalb des Netzwerks aufrechtzuerhalten, installieren sie zusätzliche Fernzugriffstools wie DWAgent oder AnyDesk. Sie versuchen auch, das Remote Desktop Protocol (RDP) auf kompromittierten Geräten zu aktivieren, um sich seitlich zu anderen Systemen zu bewegen. Diese Fähigkeit zur lateralen Bewegung bedeutet, dass der Fehler eines einzelnen Mitarbeiters die Daten des gesamten Unternehmens gefährden kann. In der letzten Phase, sobald sie über ausreichenden Zugriff im gesamten Netzwerk verfügen, setzen sie die Chaos-Ransomware ein und verschlüsseln Dateien.

Wer war betroffen

Laut dem Sophos-Bericht konzentriert sich die Kampagne geografisch stark auf Nordamerika. Ungefähr 95 % der Angriffe zielen auf Organisationen in dieser Region ab. Von diesem Prozentsatz entfallen 50 % auf Unternehmen in Kanada und 45 % auf die Vereinigten Staaten. Die von den Angreifern anvisierten Sektoren sind sehr vielfältig. Zu den am häufigsten angegriffenen Sektoren gehören Dienstleistungen, Fertigung, Energie, Bauwesen und Ingenieurwesen. Diese Vielfalt zeigt, dass die Angreifer sich nicht auf eine bestimmte Branche konzentrieren, sondern jede Organisation mit einem schwachen Sicherheitsglied ins Visier nehmen.

Was können Sie tun

Der Schutz vor solchen auf Social Engineering ausgerichteten Angriffen erfordert sowohl technische Maßnahmen als auch das Bewusstsein der Mitarbeiter:

• Mitarbeiterschulung: Warnen Sie Mitarbeiter vor unerwarteten Microsoft Teams-Nachrichten und -Anrufen, insbesondere von externen Konten. Betonen Sie, dass legitime IT-Support-Mitarbeiter niemals auf diese Weise Kontakt aufnehmen oder nach persönlichen Informationen oder Fernzugriff fragen werden.
• Überprüfungsverfahren: Etablieren Sie die Gewohnheit, jede Anfrage, die angeblich von der IT-Abteilung stammt, über einen bekannten und offiziellen Kanal (z. B. die interne Telefonnummer des Unternehmens oder das Support-Portal) zu überprüfen.
• Anwendungskontrolle: Beschränken Sie die Verwendung von Fernzugriffstools wie Microsoft Quick Assist, RemSupp und AnyDesk. Wenn nicht erforderlich, fügen Sie diese Anwendungen den unternehmensweiten Anwendungssperrlisten hinzu.
• PowerShell-Überwachung: Überwachen und beschränken Sie die PowerShell-Nutzung. Erstellen Sie Warnmechanismen für PowerShell-Aktivitäten, insbesondere solche, die Dateien aus dem Internet herunterladen oder verdächtige Befehle ausführen.
• Überwachung von Persistenzpunkten: Seien Sie auf die von Angreifern verwendeten Methoden vorbereitet. Überprüfen Sie regelmäßig verdächtige Registrierungseinträge, insbesondere solche, die als Audiotreiber getarnt sind.

Was das Unternehmen sagt

Die Nachricht basiert auf der Analyse und dem Bericht des Cybersicherheitsunternehmens Sophos. Sophos gibt an, dass der von ihnen als STAC4749 verfolgte Bedrohungsakteur seine Angriffskette zwischen Februar und Mai kontinuierlich geändert und seine Methoden verbessert hat. Dies deutet darauf hin, dass die Angreifer dynamisch und anpassungsfähig sind. Der Quellartikel enthält keine Stellungnahme von Microsoft bezüglich der Microsoft Teams-Plattform, die Ziel der Angriffe war.

Quelle

https://www.bleepingcomputer.com/news/security/microsoft-teams-vishing-attacks-lead-to-chaos-ransomware-attacks/