Sicherheitsforscher von Microsoft Threat Intelligence haben zwei schwerwiegende Angriffsfälle dokumentiert, bei denen Eindringlinge über Microsoft Teams als IT-Support auftraten und weitreichende Privilegien im Netzwerk erlangten.
Laut einem Bericht vom 30. Oktober 2026 nutzten die Angreifer den legitimen Fernzugriff über Quick Assist, um anschließend Fehlkonfigurationen in den Active Directory Certificate Services (AD CS) auszunutzen. Eine Ausnutzung von Sicherheitslücken in Teams selbst lag nicht vor; die Aktivitäten wurden bisher keinem konkreten Akteur zugeordnet.
Manipulation über Support-Täuschung und AD-CS-Missbrauch
Nach der erfolgreichen Kontaktaufnahme über Teams führten die Angreifer portable Laufzeitumgebungen für Python, Bun und Java direkt aus Verzeichnissen mit Schreibrechten für reguläre Nutzer aus. Nach einer Ausspähung des internen Netzwerks nahmen sie gezielt die Zertifikatsdienste ins Visier.
In einem am 30. Oktober 2026 beschriebenen Fall nutzten die Eindringlinge eine Schwachstelle bei Zertifikatstemplates (ESC1), um Zertifikate für privilegierte Konten auszustellen. Nach einer ersten Welle mit Zertifikaten für drei privilegierte Konten folgte rund 90 Minuten später eine zweite Kontaktaufnahme über Teams gegen 16 Personen, was zu acht weiteren privilegierten Zertifikaten führte.
Immer mehr Unternehmen werden Opfer von gezielten Cyberangriffen – diese Checkliste hilft Ihnen, es zu verhindern. Erfahren Sie im kostenlosen E-Book, wie Sie Sicherheitslücken proaktiv schließen und Ihre IT-Infrastruktur wirksam absichern. Experten-Leitfaden zur Cyber-Security jetzt gratis herunterladen
Nur Sekunden nach der Ausstellung erfolgte eine DCSync-Replikation. Zwar blockierte Microsoft Defender über 1.000 SMB-Dateizugriffe, doch blieb eine von automatischen Isolationsmaßnahmen ausgenommene privilegierte Identität nutzbar.
Über ein als SearchApp.exe getarntes Rclone-Werkzeug übertrugen die Angreifer Daten der letzten drei Jahre mit 20 parallelen Streams auf ein externes SFTP-Ziel. Ausgenommen blieben lediglich ausführbare Dateien, Datenbanken, virtuelle Festplatten, Medien, temporäre Dateien und Protokolle.
In einem zweiten Fall griffen die Täter auf die sogenannte ESC8-Methode zurück. Mittels PetitPotam und EFSRPC erzwangen sie eine Authentifizierung des Domain Controllers. Ein anschließendes NTLM-Relaying an den Webregistrierungsendpunkt der Zertifikatsdienste erzeugte ein Zertifikat für das Domänencontroller-Konto samt Kerberos-Ticket.
Ob Phishing oder Manipulationstaktiken wie CEO-Fraud – Hacker nutzen gezielt psychologische Schwachstellen in Unternehmen aus. Dieser kostenlose Report zeigt in 4 Schritten, wie Sie sich effektiv gegen moderne Angriffsmethoden schützen. Anti-Phishing-Paket für Unternehmen kostenlos anfordern
Nachdem Sicherheitssysteme entsprechende Warnungen ausgaben, isolierte die betroffene Organisation die Arbeitsstation, was ein weiteres Vordringen verhinderte. Im Kontext verweist Microsoft Threat Intelligence auf die am 14. Juli 2026 geschlossene Sicherheitslücke CVE-2026-54121 in Windows Server und Windows 10, für die bereits funktionierende Angriffsmuster öffentlich bekannt sind.
Breite Angriffswelle und neue Schutzmaßnahmen
Die Vorfälle reihen sich in ein bekanntes Angriffsmuster ein: Bereits in einem Bericht vom 26. Oktober 2026 dokumentierte Arctic Wolf Labs über 400 Vorfälle, bei denen Mitarbeitende über Teams zur Freigabe ihrer Arbeitsplätze verleitet wurden.
Angreifer registrierten dafür eigene Tenants, nutzten teils Newsletter-Fluten als Vorwand und starteten in einigen Fällen binnen 15 Minuten Schadcode. Bereits am 2. September 2026 hatte Microsoft ein vergleichbares Vorgehen gegen Domänencontroller beschrieben.
Betroffen von den aktuellen Fällen sind Organisationen mit AD CS, ungesicherten Templates oder aktiver Webregistrierung. Microsoft Threat Intelligence empfiehlt Administratoren die Umsetzung des Sicherheitsupdates KB5005413, eine Inventur der Zertifikatsendpunkte sowie die Prüfung externer Teams-Freigaben.
Parallel kündigte Microsoft funktionale Anpassungen an. Laut einer Mitteilung vom 30. Oktober 2026 führt das Unternehmen Anfang November 2026 eine neue Tabelle namens CallActivityEvents in Microsoft Defender XDR ein, die detaillierte Telemetriedaten zu Teams-Anrufen liefert.
Ende November 2026 folgt eine Testphase für granulare Zugriffsregeln bei Teams-Besprechungen, die Sicherheitsanforderungen wie Mehrfaktor-Authentifizierung für sensible Meetings vorschreibt. Zudem blockiert Teams standardmäßig zusätzliche gefährliche Dateitypen und URLs.