Angreifer nutzen Microsoft-Teams-IT-Support-Betrug zur Verbreitung von Malware und Ransomware

Was passiert ist

Diese Nachrichten stammen von Teams-Identitäten, die über neu erstellte oder übernommene Microsoft-365-Mandanten eingerichtet wurden. Cybersicherheitsforscher machen auf ein, wie sie sagen, "wiederkehrendes Social-Engineering-Muster" aufmerksam, das sich über Hunderte Fälle erstreckt. Dabei nutzen Bedrohungsakteure die Funktion von Microsoft Teams zur Erstellung externer Chats, um Identitätsbetrug durchzuführen oder Malware zu verbreiten. Microsoft ist ein Software- und Softwareentwicklungsunternehmen mit Sitz in Redmond.

"Über diese Vorfälle hinweg hat sich ein konsistentes Angreiferverhalten herausgebildet: die Nutzung derselben Wegwerf-Mandanten, derselben Anzeigenamen "IT Support (Internal)", derselben Fernzugriffswerkzeuge und zunehmend auch derselben Payload-Domains", erklärte Arctic Wolf Labs in einem Bericht, der The Hacker News vorliegt. Die Angriffe setzen durchgängig auf IT-bezogene Anzeigenamen oder freundlich klingende Vornamen, um die Warnungen für externe Nutzer in Teams zu umgehen.

Bei fast 30–40 % der vom Cybersicherheitsunternehmen untersuchten Fälle wird *.onmicrosoft[.]com verwendet, eine dauerhafte Ausweichdomain, die Microsoft automatisch bei der Erstellung eines Microsoft-365-Mandanten generiert. Der Ansatz soll ein falsches Gefühl von Dringlichkeit erzeugen, wobei die Nachricht des Teams-IT-Supports kurz darauf eintrifft und Hilfe bei der Lösung des Problems anbietet.

Die Aktivität ähnelt jener von STAC4749, die in der Vergangenheit IT-bezogene Cloud-Domains unter der TLD ".top" angelegt und plausibel wirkende Mitarbeiter-Benutzernamen verwendet hat, um die Konten echt erscheinen zu lassen. Laut Sophos haben diese Angriffe zur Verbreitung der Ransomware Chaos geführt, einer Software, die Dateien verschlüsselt und Lösegeld fordert.

Die Angriffe zielen gezielt auf Organisationen, in denen externer Zugriff aktiviert ist. Dabei kommt auch Vishing zum Einsatz, um Opfer dazu zu bringen, über ein legitimes Remote-Monitoring-und-Management-(RMM)-Werkzeug wie Quick Assist, AnyDesk, ScreenConnect (ConnectWise), TeamViewer, Atera, Zoho Assist, NetSupport oder LogMeIn direkten Tastatur-Zugriff zu gewähren.