Sicherheitsexperten haben eine koordinierte Social-Engineering-Kampagne aufgedeckt, die gezielt externe Kommunikationsfunktionen von Microsoft Teams ausnutzt. Unter dem Namen „Spring-Ring“ wurden in den ersten Monaten des Jahres 2026 zahlreiche Organisationen angegriffen, wobei die Täter versuchten, über manipulierte IT-Support-Anfragen tief in die Unternehmensnetzwerke einzudringen.
In der Zeit von Januar bis April 2026 identifizierten Forscher von Palo Alto Networks eine Angriffswelle, die sich gegen mehr als 150 Mitarbeiter in über 10 verschiedenen Organisationen richtete.
Die als „Spring-Ring“ bezeichnete Operation basierte maßgeblich auf dem Missbrauch von externen Konten innerhalb der Plattform Microsoft Teams. Die Angreifer nutzten dabei insgesamt 26 verschiedene Identitäten, um sich gegenüber den Zielpersonen als Mitarbeiter eines IT-Helpdesks auszugeben und so deren Vertrauen zu gewinnen.
Urheberschaft und taktische Vorgehensweise
Branchenanalysten schreiben diese Aktivitäten der Gruppierung Cloaked Ursa zu, die in Fachkreisen auch unter der Bezeichnung APT29 bekannt ist. Die Kampagne zeichnete sich durch ein zweistufiges Vorgehen aus, bei dem unterschiedliche technische Angriffsvektoren zum Einsatz kamen.
In einer Variante setzten die Akteure auf Fernwartungs-Tools (Remote Monitoring and Management, kurz RMM) sowie auf PowerShell-basierte Remote Access Trojans (RAT), um die Kontrolle über die Endgeräte der Mitarbeiter zu erlangen.
Während professionelle Angreifer immer häufiger psychologische Tricks nutzen, um in Firmennetzwerke einzudringen, hilft eine gezielte Vorbereitung dabei, diese Manipulationen rechtzeitig zu entlarven. Dieser kostenlose Report enthüllt die aktuellen Methoden der Cyberkriminellen und zeigt, wie man sich wirksam schützt. Diese 7 psychologischen Schwachstellen Ihrer Mitarbeiter nutzen Hacker gnadenlos aus
In einer weiteren, technisch komplexeren Ausprägung nutzten die Angreifer sogenannte PetitPotam-NTLM-Relay-Angriffe. Diese zielten direkt auf die Domain-Controller der betroffenen Unternehmen ab, um eine weitgehende Kompromittierung der gesamten Netzwerkdomäne zu erreichen.
Nach Angaben von IT-Sicherheitsexperten wurden neben RMM-Tools auch spezifische Schadsoftware-Implantate verwendet, um eine dauerhafte Präsenz in den Infrastrukturen sicherzustellen.
Analyse der Angriffskette über Microsoft Teams
Ergänzende Beobachtungen von Microsoft verdeutlichen den Ablauf dieser menschlich betriebenen Einbrüche. Der Kontakt wurde demnach initial über die Teams-Externkollaboration initiiert. Sobald die Zielperson auf die Täuschung durch den vermeintlichen IT-Support einging, etablierten die Angreifer eine Remotesitzung über ein RMM-Tool.
Im weiteren Verlauf der Angriffskette wurde eine MSI-Payload sowie ein Node.js-Implantat auf das System übertragen. Dies ermöglichte den Akteuren eine umfassende Aufklärung innerhalb des Netzwerks sowie eine anschließende laterale Bewegung unter Nutzung von Windows Remote Management (WinRM). Ziel dieser Bewegungen war es, weitere Ressourcen innerhalb des Unternehmensverbunds zu erreichen und zu kontrollieren.
Zunahme von Bedrohungen über Kollaborationsplattformen
Die Zunahme von Angriffen auf die interne Kommunikation erfordert von Unternehmen heute ein proaktives Handeln und klare Sicherheitsstrategien für die gesamte digitale Infrastruktur. Erfahren Sie in diesem kostenlosen E-Book, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen erfüllen. IT-Sicherheit stärken ohne teure Investitionen: So schützen clevere Unternehmer ihre Firma vor Cyberangriffen
Die Aufdeckung der Spring-Ring-Operation fällt in eine Phase, in der Angriffe über Kollaborationssoftware statistisch deutlich zunehmen. Marktforscher beobachteten im Zeitraum von Oktober 2025 bis März 2026 einen Anstieg von Teams-basierten Angriffen um 41 Prozent.
Diese Entwicklung unterstreicht den Trend, dass professionelle Angreifergruppen verstärkt auf Social Engineering setzen, das die Sicherheitsmechanismen klassischer E-Mail-Kommunikation umgeht, indem sie direkt über firmenübergreifende Chat-Funktionen agieren.
Die Kampagne zeigt nach Einschätzung von Branchenbeobachtern die Notwendigkeit für Unternehmen auf, die Sicherheitsrichtlinien für externe Zugriffe in Kollaborations-Tools zu verschärfen und Mitarbeiter für diese spezifischen Betrugsszenarien zu sensibilisieren. Insbesondere die Kombination aus Identitätsdiebstahl und dem Einsatz legitimer Administrationswerkzeuge für bösartige Zwecke stellt die IT-Abwehr vor neue Herausforderungen.
