Eine neue Welle von Phishing-Angriffen zielt auf Unternehmen ab, indem sie vertrauenswürdige Fernwartungstools kapert. Die Täter erlangen so tiefe Einblicke in interne Systeme – und die Angriffsmethoden werden immer raffinierter.
Sicherheitsforscher haben am 31. Juli 2026 eine ausgeklügelte Phishing-Kampagne aufgedeckt, die gezielt Anmeldedaten von Mitarbeitern stiehlt, um die Fernwartungssoftware LogMeIn Resolve zu installieren. Über diesen Umweg verschaffen sich die Angreifer dauerhaften und tiefgehenden Zugriff auf Unternehmensnetzwerke. Besonders brisant: Die Schadsoftware nutzt gültige Zertifikate und umgeht damit herkömmliche Sicherheitsfilter.
Zweistufiger Angriff über gefälschte Einladungskarten
Die Kampagne, die von den KnowBe4 Threat Labs dokumentiert wurde, arbeitet mit einer zweistufigen Strategie. Zunächst versenden die Täter Phishing-Mails, die als Kommunikation des Einladungsdienstes Greenvelope getarnt sind. Diese Nachrichten zielen darauf ab, Zugangsdaten für Microsoft Outlook, Yahoo! oder AOL.com zu stehlen.
Sobald die Angreifer die Zugangsdaten erbeutet haben, bringen sie eine Datei mit dem Namen „GreenVelopeCard.exe“ zur Ausführung. Diese installiert LogMeIn Resolve – mit einem gültigen Zertifikat, das die üblichen Sicherheitsprüfungen passiert. Die Forscher beobachteten, dass die Täter anschließend die Dienstkonfigurationen verändern, um uneingeschränkten Zugriff zu erhalten. Zusätzlich legen sie versteckte geplante Aufgaben an, um im System präsent zu bleiben.
Fernwartungstools als Einfallstor: Ein wachsender Trend
Der Missbrauch vertrauenswürdiger RMM-Software ist kein Einzelfall. Die Kampagne VENOMOUS#HELPER, die seit Jahresbeginn aktiv ist, hat bereits mehr als 80 Organisationen kompromittiert – überwiegend in den USA. Die Gruppe imitiert in ihren Phishing-Ködern häufig die US-Sozialversicherungsbehörde und lockt Opfer auf kompromittierte Websites. Nach der Ausführung installiert sich die Schadsoftware als Windows-Dienst und verschafft sich SYSTEM-Rechte. Auffällig: Die Angreifer hosten ihre Malware auf legitimen Websites, um Spamfilter zu umgehen.
Ähnlich gelagert ist die Operation „BlueDash“, die seit Februar 2026 nachgewiesen ist. Sie nutzt gefälschte Microsoft-Teams-Update-Seiten, um Nutzer zum Download einer Support-Datei zu verleiten, die über PowerShell-Befehle die Tools Level RMM und ConnectWise ScreenConnect installiert.
Wer sich gegen die zunehmende Professionalisierung von Hackerangriffen wappnen möchte, findet in diesem kostenlosen Leitfaden die passenden Strategien. Erfahren Sie in 4 Schritten, wie Sie Phishing-Versuche in Branchen wie Produktion, Handel oder Verwaltung effektiv unterbinden. Kostenloses Anti-Phishing-Paket jetzt herunterladen
Vishing-Welle: Falsche IT-Mitarbeiter am Telefon
Der Missbrauch von Kommunikationsplattformen hat in der ersten Jahreshälfte 2026 deutlich zugenommen. Die von Sophos verfolgte Kampagne STAC4749 war zwischen Februar und Juni besonders aktiv. Die Täter geben sich in Microsoft-Teams-Anrufen als IT-Support aus – eine Methode, die als „Vishing“ (Voice-Phishing) bekannt ist.
Die Zahlen sind alarmierend: 95 Prozent dieser Angriffe richteten sich gegen Organisationen in Nordamerika, die Hälfte davon in Kanada. Besonders betroffen sind Dienstleistungsunternehmen (20 Prozent), die Fertigungsindustrie (17 Prozent) und der Energiesektor (12 Prozent) sowie Kanzleien für geistiges Eigentum.
Die Angreifer überreden Mitarbeiter, Fernwartungstools wie Quick Assist oder RemSupp zu nutzen. Einmal gewährt, installieren sie Hintertüren und sichern ihre Präsenz mit PowerShell-Loadern. In mindestens drei dokumentierten Fällen endeten die Angriffe mit der Auslieferung der Chaos-Ransomware. In einem Fall vergingen zwischen dem ersten Zugriff und der vollständigen Verschlüsselung weniger als 17 Stunden.
Da Angreifer immer häufiger psychologische Manipulationstaktiken nutzen, wird die gezielte Sensibilisierung der Belegschaft zum entscheidenden Schutzfaktor. Dieser Gratis-Report enthüllt die aktuellen Methoden der Cyberkriminellen und zeigt auf, wie Sie Ihr Unternehmen proaktiv absichern. Experten-Bericht zur Hacker-Abwehr gratis anfordern
Automatisierte Phishing-Kits und OAuth-Missbrauch
Die technische Entwicklung schreitet voran: Das Tool LogoKit, das seit 2019 dokumentiert ist, erstellt inzwischen in Echtzeit personalisierte Login-Seiten für jedes Opfer. Es extrahiert Firmenlogo und Website-Screenshots anhand der E-Mail-Adresse und präsentiert eine täuschend echte Anmeldemaske.
Eine weitere Kampagne zwischen dem 25. Juni und Mitte Juli 2026 zeigt, wie Angreifer das legitime OAuth-System von Microsoft ausnutzen. Check-Point-Forscher identifizierten über 200 E-Mails an 120 Organisationen weltweit, die als Microsoft-Planner-Benachrichtigungen getarnt waren. Die Links führten nicht zu gefälschten Seiten, sondern zum echten Microsoft-Login-Portal. Gewährte der Nutzer der bösartigen App die Berechtigung, hatten die Angreifer direkten Zugriff auf E-Mails, Dateien, Teams-Kommunikation und OneDrive-Daten.
Schutzmaßnahmen: Was Unternehmen jetzt tun sollten
Branchenexperten, darunter Talos im Bericht zum zweiten Quartal 2026, betonen: Phishing ist weiterhin für über die Hälfte aller Incident-Response-Einsätze verantwortlich. Empfohlen werden phishing-resistente Multi-Faktor-Authentifizierung wie FIDO2-Sicherheitsschlüssel sowie eine strikte Überwachung unautorisierter RMM-Installationen und ungewöhnlicher PowerShell-Aktivitäten. Angesichts der zunehmenden Automatisierung und Professionalisierung der Angreifer ist Vorsicht geboten – besonders bei unerwarteten Anrufen angeblicher IT-Mitarbeiter.
