Microsoft Teams IT-Support-Betrugsmaschen führen zu Chaos-Ransomware-Angriffen

Bedrohungsakteure geben sich in Microsoft Teams als IT-Support-Mitarbeiter von Unternehmen aus, um Fernzugriff auf Mitarbeitergeräte zu erlangen und die Chaos-Ransomware zu verbreiten.

Sophos verfolgt die Kampagne unter der Bezeichnung STAC4749. Das Sicherheitsunternehmen beobachtete zwischen Februar und Juni 2026 Dutzende versuchte Angriffe gegen Organisationen in den USA und Kanada. Mindestens drei Vorfälle endeten mit einer Ransomware-Verschlüsselung.

Angreifer geben sich in Microsoft Teams als IT-Mitarbeiter aus

Die Angreifer kontaktierten Mitarbeiter über externe Microsoft-Teams-Konten. In Chats und Sprachanrufen stellten sie sich als Helpdesk-Techniker oder Mitglieder der IT-Abteilung des Unternehmens vor.

Sie behaupteten dann, Zugriff auf den Computer des Mitarbeiters zu benötigen, um ein technisches Problem zu beheben. Ihr Ziel war es, das Opfer dazu zu bringen, eine Fernwartungssitzung zu genehmigen, ohne die Anfrage über einen internen Kanal zu verifizieren.

Sobald ein Mitarbeiter die Anfrage akzeptierte, erhielten die Angreifer direkten Zugriff auf das Gerät und begannen mit der Installation weiterer Tools.

RemSupp ersetzt Microsoft Schnellhilfe in späteren Angriffen

Frühere Versionen der Kampagne setzten stark auf Microsoft Schnellhilfe, eine legitime Windows-Supportfunktion, mit der eine andere Person einen Computer aus der Ferne anzeigen oder steuern kann.

Wenn Schnellhilfe blockiert oder nicht verfügbar war, wiesen die Angreifer die Opfer an, andere Fernverwaltungssoftware zu installieren. Ab April verließen sie sich zunehmend auf den cloudbasierten Dienst RemSupp.

Sophos geht davon aus, dass RemSupp möglicherweise die bevorzugte Option wurde, weil weniger unternehmensinterne Anwendungssperrlisten sie erkannten. Die Verwendung legitimer Fernwartungssoftware half den Angreifern zudem, in der ersten Phase des Angriffs keine offensichtlich schädlichen Tools einzusetzen.

PowerShell lädt eine persistente Hintertür herunter

Nachdem sie Fernzugriff erhalten hatten, verwendeten die Angreifer PowerShell-Befehle, um eine Hintertür in den Ordner %AppData% des Opfers herunterzuladen.

Die Schadsoftware sammelte Informationen über das kompromittierte System, richtete Persistenzmechanismen ein und hielt den Zugriff auch nach dem Ende der ursprünglichen Teams- oder Fernwartungssitzung aufrecht.

Um die Aktivität legitim erscheinen zu lassen, erstellten die Angreifer Registrierungseinträge mit Namen, die Windows-Audiokomponenten ähnelten. Beobachtete Namen waren Realtek HD Audio, Realtek Audio UHD und WinAudio life2.

Diese Einträge ermöglichten es der Schadsoftware, automatisch zu starten, und erschwerten es Mitarbeitern und Administratoren, den verdächtigen Prozess zu identifizieren.

Angreifer installieren mehrere Fernzugriffstools

Bei Vorfällen, die zu Ransomware eskalierten, installierte die Gruppe zusätzliche Fernzugriffsanwendungen, darunter DWAgent und AnyDesk.

Diese Tools boten einen Backup-Zugang, falls Verteidiger die ursprüngliche Verbindung unterbrachen. Die Angreifer versuchten zudem, das Remotedesktopprotokoll zu aktivieren, was ihnen den Zugriff auf andere Systeme und die Bewegung im Unternehmensnetzwerk erleichtern könnte.

Sophos beobachtete zwischen Februar und Mai wiederholte Änderungen an der Angriffskette. Die Angreifer passten ihre Tools, Befehle und Persistenzmethoden an, als Sicherheitsprodukte begannen, frühere Versionen zu erkennen.

Chaos-Ransomware verschlüsselte mehrere Systeme gleichzeitig

Mindestens drei STAC4749-Angriffe führten zur Verbreitung der Chaos-Ransomware. In diesen Vorfällen verschlüsselte die Ransomware Dateien auf mehreren kompromittierten Computern ungefähr gleichzeitig.

Hinweise aus mindestens einem Angriff deuten darauf hin, dass die Gruppe möglicherweise Unternehmensdaten gestohlen hat, bevor sie mit der Verschlüsselung begann. Dies würde es den Angreifern ermöglichen, das Opfer sowohl mit der Veröffentlichung der Daten als auch mit der Systemstörung unter Druck zu setzen.

Sophos bewertet die Kampagne als finanziell motiviert. Die Angreifer könnten die Ransomware selbst einsetzen oder nach der Kompromittierung eines Netzwerks Zugang an separate Ransomware-Partner verkaufen.

Auch andere Bedrohungsgruppen haben Microsoft Teams für Social Engineering genutzt. Die vom iranischen Staat unterstützte Gruppe MuddyWater hat Teams und gefälschte Ransomware-Aktivitäten eingesetzt, um Spionageoperationen zu verschleiern.

Auch Chaos-bezogene Kampagnen haben andere Techniken genutzt. In einer separaten Operation nutzte die Chaos-Ransomware msaRAT, um bösartigen Datenverkehr in Chrome und Edge zu tarnen.

Wie Unternehmen Teams-Vishing-Angriffe blockieren können

Unternehmen sollten die externe Microsoft-Teams-Kommunikation einschränken oder Nachrichten und Anrufe von Konten außerhalb der Organisation genau überwachen.

Mitarbeiter sollten niemals eine unerwartete Fernwartungsanfrage genehmigen, ohne sie über einen offiziellen internen Kontaktweg zu bestätigen. IT-Abteilungen sollten zudem klar erläutern, welche Tools ihre Techniker verwenden und wie legitime Supportanfragen beginnen.

Sicherheitsteams sollten Schnellhilfe, RemSupp, AnyDesk, DWAgent und ähnliche Software auf Systemen blockieren oder einschränken, die keine Fernverwaltung benötigen.

Unternehmen sollten ungewöhnliche PowerShell-Aktivitäten überwachen, einschließlich unerwarteter Downloads oder codierter Befehle, sowie die Installation neuer oder nicht autorisierter Fernverwaltungsanwendungen. Diese Verhaltensweisen können darauf hindeuten, dass ein Angreifer ersten Zugriff erlangt hat und versucht, die Kontrolle über ein System zu übernehmen.

Sie sollten auch auf verdächtige Registrierungseinträge achten, die legitime Audiosoftware imitieren, auf Versuche, das Remotedesktopprotokoll zu aktivieren, und auf externe Microsoft-Teams-Konten, die sich als interner Support ausgeben. Zusammen können diese Indikatoren helfen, Social Engineering und Aktivitäten nach einer Kompromittierung frühzeitig in einer Angriffskette zu erkennen.

In anderen Sicherheitsnachrichten kämpft Microsoft derzeit mit der Behebung von Schwachstellen, die von Anthropics Claude Mythos identifiziert wurden. Da die Sicherheitsforschung zunehmend automatisiert wird, könnten Angreifer ebenfalls Softwareschwachstellen schneller finden und ausnutzen.

Via BleepingComputer