Microsoft-Teams-Betrug nutzt IT-Impersonation zur Installation von Ransomware

Cybersicherheitsforscher haben eine anhaltende Welle von Social-Engineering-Angriffen auf Organisationen über Microsoft Teams identifiziert. Bedrohungsakteure erstellen gefälschte IT-Support-Identitäten, um Mitarbeiter dazu zu bringen, Remote-Zugriff zu gewähren, was letztlich zur Installation von Malware und zur Bereitstellung von Ransomware führt. Dieses Muster, das in einem Bericht von Arctic Wolf Labs hervorgehoben wurde, der am 26. Oktober 2026 mit The Hacker News geteilt wurde, missbraucht das Vertrauen in interne Kommunikationskanäle statt technischer Software-Schwachstellen.

Was passiert ist

Der Angriffsvektor beginnt mit der Erstellung neuer oder erworbener Microsoft 365-Tenants. Angreifer nutzen diese Tenants, um Teams-Konten mit Anzeigenamen zu generieren, die interne IT-Mitarbeiter imitieren, wie z. B. "Help Desk", "IT Support" oder spezifische Namen wie "IT Service Desk – Liam". Diese Konten verwenden oft die Standard-Domain *.onmicrosoft[.]com, wobei Tenant-Namen so gewählt werden, dass sie legitim klingen, wie helpdeskteam365 oder itcoreportal. In den letzten Monaten hat sich ein Trend hin zur Nutzung kostenpflichtiger Top-Level-Domains gezeigt, wobei etwa 50 Prozent der gefälschten Identitäten die TLD .top und 40 Prozent die TLD .com verwenden.

Bevor die Kontaktaufnahme über Teams erfolgt, fluten Angreifer häufig das E-Mail-Postfach des Opfers mit Hunderten von Newsletter-Abonnements oder Bestätigungs-E-Mails. Dieses "Mail Bombing" erzeugt ein Gefühl von Dringlichkeit und Verwirrung. Kurz darauf erhält das Opfer eine Teams-Nachricht vom gefälschten IT-Support-Konto, die Hilfe bei der Lösung des E-Mail-Problems anbietet. Dieses Timing soll die Wachsamkeit des Opfers senken und das unaufgeforderte Unterstützungsangebot hilfreich erscheinen lassen, statt verdächtig.

Sobald das Gespräch beginnt, wenden Angreifer Social-Engineering-Techniken an, einschließlich Sprachanrufe (Vishing), um den Nutzer davon zu überzeugen, legitime Tools für Remote Monitoring and Management (RMM) wie Quick Assist, AnyDesk oder TeamViewer zu installieren. Nach dem Erhalt von Hands-on-Keyboard-Zugriff führen Angreifer Reconnaissance durch, bewegen sich lateral zu Domänencontrollern und stellen zusätzliche Payloads bereit. In einigen Fällen weisen sie Benutzer an, PowerShell-Befehle auszuführen, die schädliche Installer aus Azure Blob Storage herunterladen, was zur Ausführung von Backdoors wie GoGRPC und schließlich zur Chaos-Ransomware führt.

Wichtige Details

• Angreifer verwenden neu erstellte Microsoft 365-Tenants mit IT-bezogenen Namen, um Glaubwürdigkeit in externen Teams-Chats aufzubauen.
• In nahezu 30–40 % der untersuchten Fälle werden *.onmicrosoft[.]com-Fallback-Domains verwendet, um den Ursprung der Nachrichten zu verschleiern.
• Mail Bombing wird als Vorläufer-Taktik eingesetzt, um Dringlichkeit zu erzeugen, bevor die gefälschte IT-Support-Nachricht in Teams eingeht.
• Gefälschte Anzeigenamen enthalten oft die Domain der Zielorganisation oder übliche IT-Titel wie "HelpDesk Supervisor" oder "Enterprise IT & Security (Internal)".
• Angreifer vermeiden das Senden direkter Links in Teams, um Sicherheits-Scans zu umgehen, und leiten Benutzer stattdessen dazu an, Payloads während Remote-Sitzungen herunterzuladen.
• Die letzte Phase des Angriffs umfasst oft die Bereitstellung von Chaos-Ransomware nach Datenexfiltration und lateraler Bewegung.

Hintergrund

Social Engineering beruht auf der Manipulation der menschlichen Psychologie, nicht auf der Ausnutzung technischer Schwachstellen in Software. In diesem Szenario nutzen die Angreifer das inhärente Vertrauen aus, das Mitarbeiter internen IT-Abteilungen entgegenbringen. Durch die Imitation der Sprache, des Tons und der Dringlichkeit echter Support-Anfragen umgehen sie standardmäßige Schulungen zum Sicherheitsbewusstsein, die sich auf verdächtige E-Mails oder unbekannte Links konzentrieren. Die Verwendung legitimer RMM-Tools erschwert die Erkennung weiter, da diese Anwendungen innerhalb von Organisationen oft für echte Wartungsaufgaben zugelassen sind.

Microsoft Teams ermöglicht in vielen Konfigurationen standardmäßig den externen Chat, sodass Benutzer aus verschiedenen Organisationen kommunizieren können. Während dies die Zusammenarbeit erleichtert, öffnet es auch eine Tür für Bedrohungsakteure, die leicht kostenlose oder kostengünstige Microsoft 365-Konten erstellen können. Die Kombination aus externem Zugriff, überzeugender Impersonation und der Nutzung vertrauenswürdiger Tools schafft eine Hochrisiko-Umgebung, in der traditionelle Perimeter-Verteidigungen die anfängliche Kompromittierung möglicherweise nicht erkennen.

Warum es wichtig ist

Für Teams, die ihre eigene Software und Infrastruktur verwalten, hebt dieser Trend eine kritische Lücke in der Sicherheitslage hervor: Überwachung von Identität und Verhalten. Traditionelle E-Mail-Filter können das anfängliche Mail Bombing erfassen, aber sie können die darauffolgende Teams-Interaktion nicht verhindern. Wenn der externe Chat aktiviert ist, kann jeder Mitarbeiter von einem überzeugenden Impersonator ins Visier genommen werden. Die Auswirkungen sind schwerwiegend, da der erlangte Remote-Zugriff Angreifern ermöglicht, sich lateral im Netzwerk zu bewegen und dabei potenziell Domänencontroller und sensible Datenspeicher zu kompromittieren.

Die Verwendung legitimer Tools wie RMM-Software macht diese Angriffe für Standard-Endpoint-Schutzsysteme schwer zu erkennen. Da die Tools selbst nicht bösartig sind, melden Sicherheitssysteme deren Installation oder Nutzung möglicherweise nicht. Dies bedeutet, dass Telemetrie von Identitätsanbietern und Protokolle der Endpoint-Aktivitäten unerlässlich sind, um anomales Verhalten zu erkennen, wie ungewöhnliche Remote-Zugriffssitzungen oder PowerShell-Befehle, die von nicht-technischem Personal ausgeführt werden. Organisationen müssen erkennen, dass Vertrauen nun eine Angriffsfläche ist, die aktives Management erfordert.

Was Sie tun können

• Beschränken Sie den Zugriff auf den externen Chat in Microsoft Teams nur auf notwendige Partner und Anbieter und deaktivieren Sie ihn für allgemeine Benutzer, wo möglich.
• Implementieren Sie strenge Richtlinien für die Installation und Nutzung von Remote-Zugriffstools, die eine Genehmigung durch die IT-Sicherheit vor der Nutzung erfordern.
• Schulen Sie Mitarbeiter darin, die Identität jeder Person zu überprüfen, die behauptet, vom IT-Support zu sein, insbesondere wenn sie über Chat oder Telefon Kontakt aufnehmen.
• Überwachen Sie ungewöhnliche Spitzen im E-Mail-Traffic (Mail Bombing) und korrelieren Sie diese mit nachfolgenden Teams-Nachrichten von unbekannten externen Benutzern.
• Aktivieren Sie Multi-Faktor-Authentifizierung und bedingte Zugriffsrichtlinien, um die Fähigkeit kompromittierter Konten einzuschränken, sensible Aktionen durchzuführen.
• Prüfen und auditieren Sie Logs für die Ausführung von PowerShell und die Nutzung von RMM-Tools und suchen Sie nach Mustern, die von normalen administrativen Aktivitäten abweichen.