Das IT-Sicherheitsunternehmen Arctic Wolf hat über 400 Fälle einer Social-Engineering-Kampagne registriert, bei der Angreifer externe Chatfunktionen in Microsoft Teams ausnutzen. Die Täter treten dabei unter Bezeichnungen wie interner IT-Support oder IT-Service-Desk auf und versuchen, Beschäftigte zur Freigabe von Fernzugriffen zu bewegen. Die Kampagne wird teilweise der Gruppierung Black Basta zugerechnet.
Schnelle Kompromittierung über legitime Werkzeuge
Nach Erkenntnissen von Arctic Wolf erfolgte die Ausführung von Schadcode in den beobachteten Vorfällen oft in unter 15 Minuten. Justin Moore von Arctic Wolf zufolge führten rund 15 Prozent der registrierten Fälle zu einer erfolgreichen Kompromittierung der Zielsysteme.
Als Einfallstor dienten etablierte Fernwartungsprogramme: Am häufigsten setzten die Kriminellen auf Microsofts Quick Assist, daneben kamen Anwendungen wie AnyDesk, ScreenConnect, Atera, Zoho Assist, NetSupport oder LogMeIn zum Einsatz. In mehreren Fällen installierten die Angreifer zudem ein zweites Fernwartungstool, um den Zugriff dauerhaft abzusichern.
Rekord-Schäden durch Phishing zeigen, wie wichtig die Sensibilisierung für psychologische Manipulationstaktiken der Hacker ist. Experten erklären in diesem kostenlosen Anti-Phishing-Paket, wie sich Ihr Unternehmen wirksam gegen aktuelle Angriffsmethoden schützen kann. Kostenloses Anti-Phishing-Paket jetzt herunterladen
Bei den Angriffswellen kombinierten die Täter die Kontaktaufnahme über Teams häufig mit vorgeschaltetem E-Mail-Bombing oder telefonischem Phishing. Nach einer Flut von E-Mails boten die Angreifer über Teams vorgebliche Unterstützung an.
In einem von Arctic Wolf dokumentierten Vorfall lud ein PowerShell-Skript eine MSI-Datei von einem Azure-Blob-Speicher herunter, startete ein Python-Implantat und fragte anschließend das Active Directory des betroffenen Netzwerks ab.
Missbrauch von Standardfunktionen
Die Angriffe basieren laut Arctic Wolf nicht auf einer Sicherheitslücke in der Software, sondern auf dem Missbrauch der standardmäßig aktivierten externen Chat-Funktion in Teams. Durch diese Federation-Einstellung können externe Nutzer organisationsübergreifend Chats initiieren. Viele Angreifer legten neue Microsoft-365-Umgebungen an und traten mit entsprechenden Anzeigenamen auf.
Wer die Sicherheit in seinem Unternehmen proaktiv stärken möchte, findet in diesem Leitfaden fundierte Informationen zu aktuellen Bedrohungen und kostengünstigen Schutzmaßnahmen. Das Gratis-E-Book zeigt Ihnen, wie Sie Sicherheitslücken schließen, bevor es zu einem Vorfall kommt. Sicherheits-Leitfaden für Unternehmen kostenlos sichern
Zwischen 30 und 40 Prozent der Fälle nutzten unmodifizierte Standard-Tenants des Anbieters. Bei Fällen mit bezahlten Internetadressen registrierten die Analysten zunehmend kostenpflichtige Domains, vor allem mit den Endungen .top und .com.
Etwa die Hälfte der Vorfälle mit bezahlten Domains entfiel dabei auf .top-Adressen. Ziel der Aktivitäten ist nach Einschätzung des Sicherheitsunternehmens die Etablierung eines dauerhaften Netzwerkzugangs, mutmaßlich als Vorbereitung für weitergehende Malware- oder Ransomware-Angriffe.
Empfehlungen zur Absicherung
Arctic Wolf rät Organisationen, das Systemereignis zur Chaterstellung als Erkennungspunkt im Monitoring zu nutzen und die externe Kommunikation einzuschränken. Statt uneingeschränktem Zugriff sollten Administratoren auf Freigabelisten für vorab genehmigte Domänen setzen.
Zudem wird empfohlen, nicht verwaltete Umgebungen sowie reine Test-Tenants zu blockieren, den Einsatz von Fernzugriffssoftware strikt zu limitieren und Beschäftigte im Umgang mit unaufgeforderten Support-Anfragen zu schulen.
Microsoft kündigte für November 2026 die Einführung einer KI-gestützten Phishing-Erkennung innerhalb von Teams an, um verdächtige Kommunikationsversuche künftig früher automatisiert abzuwehren.