Cyberkriminelle geben sich in Microsoft Teams als IT-Support aus

(Source: redgreystock / magnific.com)

(Source: redgreystock / magnific.com)

Das Cybersecurity-Unternehmen Arctic Wolf hat über 400 Vorfälle analysiert, bei denen Kriminelle die externe Chatfunktion von Microsoft Teams für Social Engineering missbrauchen. Die Angriffe erfolgen jedoch nicht über eine Sicherheitslücke, sondern über eine reguläre Funktion, mit der Nutzer aus verschiedenen Microsoft-365-Umgebungen einander finden, anschreiben und anrufen können. Diese Funktion ist standardmässig aktiviert, wie Arctic Wolf in einem Blogbeitrag schreibt.

Gefälschte Konten in Minuten

Für die Angriffe erstellen oder beschaffen sich die Täter laut Arctic Wolf meist Microsoft-365-Tenants. In 30 bis 40 Prozent der untersuchten Fälle nutzten sie dafür die Standarddomain "onmicrosoft.com". Diese lasse sich ohne Verifizierung innerhalb weniger Minuten einrichten. Die Namen der Tenants wählten die Betrüger bewusst so, dass sie an IT-Infrastruktur erinnern. Dafür verwenden sie beispielsweise Begriffe wie "Support", "Helpdesk" oder "Admin", wie Arctic Wolf schreibt.

Der Cybersecurity-Anbieter beobachte allerdings auch eine Verschiebung hin zu eigenen Domains. Von den untersuchten kostenpflichtigen Domains ende rund die Hälfte auf ".top". 

Auch bei den Anzeigenamen setzen die Täter Arctic Wolf zufolge auf Vertrauen. Sie ergänzten diese beispielsweise mit dem Zusatz "(Internal)", obwohl Teams die Absender gleichzeitig als extern kennzeichne. Andere Betrüger verwenden gemäss Bericht Vornamen oder den Firmennamen des Zielunternehmens. In mehr als 100 Fällen habe Arctic Wolf zudem Emojis wie Schilde oder Werkzeuge in den Anzeigenamen beobachtet, was auf den Einsatz von KI hindeuten könnte. 

Erst Spamflut, dann Hilfsangebot 

Häufig beginne ein Angriff mit einer Flut gefälschter Newsletter- und Abobestätigungen im E-Mail-Postfach des potenziellen Opfers. Kurz darauf meldet sich der vermeintliche IT-Support über Teams und bietet Hilfe an, wie Arctic Wolf schreibt. Die Täter würden dabei auch oft direkt über Teams anrufen. 

Ziel der Angreifer sei es, die Betroffenen dazu zu bringen, ein Fernwartungstool zu starten und ihnen Zugriff auf den Rechner zu gewähren. Am häufigsten kommt laut Arctic Wolf Microsoft Quick Assist zum Einsatz. Die Anwendung sei bereits in Windows integriert und müsse nicht zusätzlich installiert werden. Daneben nutzten die Täter unter anderem Anydesk, Screenconnect, Teamviewer und Atera.

In beobachteten erfolgreichen Angriffsverläufen gelangten die Täter nach dem ersten Kontakt mit dem Opfer in weniger als 15 Minuten zur Ausführung von Schadcode, wie es im Blogpost heisst..

So können sich Unternehmen schützen

Arctic Wolf rät, den externen Zugriff in Teams auf vertrauenswürdige Partnerdomains zu beschränken und Chats mit nicht verwalteten Konten sowie Test-Tenants zu blockieren. Fernwartungstools wie Quick Assist sollten Unternehmen nur autorisierten IT-Rollen erlauben. Anfragen für einen Fernzugriff sollten Mitarbeitende stets über separate Kanäle überprüfen. Zudem sollten Unternehmen ihre Angestellten darauf aufmerksam machen, wie die eigene IT-Abteilung tatsächlich mit ihnen kommuniziert. 

Arctic Wolf empfiehlt Unternehmen, den externen Zugriff in Teams auf vertrauenswürdige Partnerdomains zu beschränken und Chats mit nicht verwalteten Konten sowie die Kommunikation mit Test-Tenants zu blockieren.

Zudem rät der Sicherheitsanbieter, Fernwartungstools wie Quick Assist nur für autorisierte IT-Mitarbeitende freizugeben. Mitarbeitende können sich schützen, indem sie Anfragen für einen Fernzugriff über einen separaten, vertrauenswürdigen Kanal überprüfen. Wichtig sei ausserdem, dass Unternehmen ihre Angestellten darüber informieren, wie die eigene IT-Abteilung tatsächlich Kontakt aufnimmt.

Microsoft will solchen Betrugsversuchen künftig mit einer KI-gestützten Phishing-Erkennung begegnen. Die Funktion soll ab November 2026 schrittweise eingeführt werden und insbesondere verdächtige Nachrichten von externen Kontakten erkennen. Mehr zur neuen Sicherheitsfunktion von Microsoft Teams lesen Sie hier. 

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal gibt es täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.