Hacker kapern Firmennetzwerke über falsche Meeting-Einladungen und manipulierte WLAN-Hotspots.
Die Bedrohungslage für Unternehmen hat sich im Juli 2026 dramatisch verschärft. Gleich mehrere hochentwickelte Kampagnen nutzen Microsoft Teams und die Microsoft-365-Infrastruktur als Einfallstore. Besonders betroffen: Finanzinstitute und die Kryptobranche.
Nordkoreanische Gruppe zielt auf Krypto-Manager
Die Hackergruppe BlueNoroff, ein Ableger der berüchtigten Lazarus-Gruppe, setzt auf eine perfide Masche: Fake-Meeting-Einladungen über Zoom und Microsoft Teams. Die Angreifer kapern zunächst Telegram-Konten von vertrauenswürdigen Kontakten in der Kryptobranche. Über diese Accounts verschicken sie Kalenderlinks, die zu betrügerischen Meeting-Seiten führen.
Dort angekommen, scannt ein Skript den Browser des Opfers nach Ethereum- und Solana-Wallets. Nur wenn ein lohnendes Ziel entdeckt wird, kommt die Schadsoftware zum Einsatz. Auf Windows-Systemen deaktiviert ein PowerShell-Loader die Sicherheitsfunktionen. Mac-Nutzer hingegen werden mit einem Stealer konfrontiert, der Master-Keys aus der Chrome-Keychain extrahiert. Sicherheitsforscher identifizierten vier verschiedene macOS-Varianten, die zwischen April und Juli 2026 entwickelt wurden.
Die Bilanz ist alarmierend: Mehr als 100 Opfer in 20 Ländern, rund 45 Prozent von ihnen in Vorstands- oder Führungspositionen.
Operation BlueDash: Fernwartung als Trojaner
Eine separate Kampagne mit dem Namen Operation BlueDash ist seit Februar 2026 aktiv – mit einem deutlichen Anstieg im Juli. Dahinter steckt die nigerianische Gruppe ZeroBEC. Die Täter locken ihre Opfer mit gefälschten Microsoft-Teams-Dokumenten und vermeintlichen Software-Updates.
Rekord-Schäden durch Phishing und manipulierte Meeting-Links zeigen, wie verwundbar Unternehmen heute sind. Experten erklären im kostenlosen Anti-Phishing-Paket, wie Sie Ihre Mitarbeiter sensibilisieren und die Firma wirksam vor Cyberkriminalität schützen können. Anti-Phishing-Paket jetzt gratis herunterladen
Der Köder führt über die Domain teamvem[.]com zu einer nachgemachten Microsoft-Store-Seite. Ein PowerShell-Skript installiert dann legitime Fernwartungstools wie Level RMM und ConnectWise ScreenConnect. Diese Programme verschaffen den Angreifern dauerhaften Zugriff auf die kompromittierten Systeme. Ähnliche Methoden nutzte die Gruppe bereits in einer „Zoom-lure“-Kampagne mit Tactical RMM.
Hotel-WLAN als Einfallstor für Unternehmen
Seit Juni 2026 läuft eine weitere Kampagne, die Geschäftsreisende ins Visier nimmt. Die Angreifer manipulieren öffentliche WLAN-Gateways in Hotels und Konferenzzentren in den USA, Indien und Saudi-Arabien. Über DNS-Poisoning auf SOHO-Routern leiten sie den Datenverkehr um.
Versuchen Gäste, sich ins Internet einzuwählen, landen sie auf gefälschten Microsoft-365-Loginseiten wie m365-owa[.]com. Die Angreifer nutzen Adversary-in-the-Middle-Techniken (AitM) und missbrauchen die Gerätecode-Authentifizierung, um Unternehmenszugangsdaten abzugreifen. Betroffen sind vor allem Anwaltskanzleien, Finanzdienstleister, Gesundheitsunternehmen und Energiekonzerne. Sicherheitsexperten sehen taktische Parallelen zur russischen Gruppe APT28.
Kritische SharePoint-Lücke erfordert sofortiges Handeln
Neben den aktiven Phishing-Kampagnen warnt das Bundesamt für Sicherheit in der Informationstechnik vor einer kritischen Sicherheitslücke in Microsoft SharePoint. Die Schwachstelle CVE-2026-50522 ermöglicht Remote-Code-Ausführung und hat einen Schweregrad von 9,8.
Ob manipulierte WLAN-Gateways oder Sicherheitslücken in Cloud-Infrastrukturen – proaktiver Schutz ist für Firmen unerlässlich. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und aktuellen Cyberrisiken Unternehmer jetzt kennen müssen, um ihre IT-Sicherheit ohne hohe Investitionen zu stärken. Gratis-Report zur Cyber-Security anfordern
Microsoft veröffentlichte am 14. Juli ein Sicherheitsupdate. Doch das allein reicht nicht, warnen Experten. Öffentliche Exploits sind seit dem 20. Juli verfügbar. Die US-Cybersicherheitsbehörde CISA setzte eine Frist zur Behebung bis zum 25. Juli.
Administratoren müssen eine bestimmte Reihenfolge einhalten: Patch einspielen, vorhandene Web-Shells entfernen, dann die SharePoint-Machine-Keys rotieren. Nur so lässt sich verhindern, dass Angreifer mit gestohlenen Schlüsseln erneut eindringen.
