Microsoft-Teams-IT-Support-Betrugsmaschen führen zu Chaos-Ransomware-Angriffen

Bedrohungsakteure geben sich auf Microsoft Teams als IT-Support-Mitarbeiter von Unternehmen aus, um sich Fernzugriff auf Geräte von Mitarbeitern zu verschaffen und Chaos-Ransomware einzusetzen.

Sophos verfolgt die Kampagne unter der Bezeichnung STAC4749. Das Sicherheitsunternehmen beobachtete zwischen Februar und Juni 2026 Dutzende von Angriffsversuchen gegen Organisationen in den Vereinigten Staaten und Kanada. Mindestens drei Vorfälle endeten mit einer Verschlüsselung durch Ransomware.

Angreifer geben sich auf Microsoft Teams als IT-Mitarbeiter aus

Die Angreifer kontaktierten Mitarbeiter über externe Microsoft-Teams-Konten. In Chats und Sprachanrufen stellten sie sich als Helpdesk-Techniker oder Mitglieder der IT-Abteilung des Unternehmens vor.

Anschließend behaupteten sie, dass sie Zugriff auf den Computer des Mitarbeiters benötigten, um ein technisches Problem zu lösen. Ihr Ziel war es, das Opfer dazu zu bringen, eine Remote-Support-Sitzung zu genehmigen, ohne die Anfrage über einen internen Kanal zu überprüfen.

Sobald ein Mitarbeiter die Anfrage annahm, erhielten die Angreifer direkten Zugriff auf das Gerät und begannen mit der Installation weiterer Tools.

RemSupp ersetzt bei späteren Angriffen Microsoft Schnellhilfe

Frühe Versionen der Kampagne setzten stark auf Microsoft Schnellhilfe, eine legitime Windows-Supportfunktion, mit der eine andere Person einen Computer aus der Ferne anzeigen oder steuern kann.

Wenn Schnellhilfe blockiert oder nicht verfügbar war, wiesen die Angreifer die Opfer an, andere Fernverwaltungssoftware zu installieren. Ab April verließen sie sich zunehmend auf den cloudbasierten RemSupp-Dienst.

Sophos geht davon aus, dass RemSupp zur bevorzugten Option wurde, weil weniger unternehmenseigene Anwendungs-Blockierlisten es erkannten. Der Einsatz legitimer Remote-Support-Software half den Angreifern außerdem, in der ersten Phase des Angriffs offensichtlich bösartige Tools zu vermeiden.

PowerShell lädt eine persistente Hintertür herunter

Nachdem sie Fernzugriff erlangt hatten, verwendeten die Angreifer PowerShell-Befehle, um eine Hintertür in den Ordner %AppData% des Opfers herunterzuladen.

Die Schadsoftware sammelte Informationen über das kompromittierte System, erstellte Persistenzmechanismen und behielt den Zugriff, nachdem die ursprüngliche Teams- oder Remote-Support-Sitzung beendet war.

Um die Aktivität legitim erscheinen zu lassen, erstellten die Angreifer Registrierungseinträge mit Namen, die Windows-Audiokomponenten ähnelten. Zu den beobachteten Namen gehörten Realtek HD Audio, Realtek Audio UHD und WinAudio life2.

Diese Einträge ermöglichten es der Schadsoftware, automatisch zu starten, und erschwerten es Mitarbeitern und Administratoren, den verdächtigen Prozess zu identifizieren.

Angreifer installieren mehrere Fernzugriffstools

Bei Vorfällen, die zur Ransomware führten, installierte die Gruppe zusätzliche Fernzugriffsanwendungen, darunter DWAgent und AnyDesk.

Diese Tools boten einen Backup-Zugang, falls Verteidiger die ursprüngliche Verbindung unterbrachen. Die Angreifer versuchten außerdem, das Remotedesktopprotokoll zu aktivieren, was ihnen dabei helfen könnte, auf andere Systeme zuzugreifen und sich im Unternehmensnetzwerk zu bewegen.

Sophos beobachtete zwischen Februar und Mai wiederholte Änderungen an der Angriffskette. Die Betreiber passten ihre Tools, Befehle und Persistenzmethoden an, als Sicherheitsprodukte begannen, frühere Versionen zu erkennen.

Chaos-Ransomware verschlüsselte mehrere Systeme gleichzeitig

Mindestens drei STAC4749-Angriffe führten zum Einsatz der Chaos-Ransomware. Während dieser Vorfälle verschlüsselte die Ransomware Dateien auf mehreren kompromittierten Computern etwa zur gleichen Zeit.

Erkenntnisse aus mindestens einem Angriff deuten darauf hin, dass die Gruppe möglicherweise Unternehmensdaten gestohlen hat, bevor sie mit der Verschlüsselung begann. Dies würde es den Angreifern ermöglichen, das Opfer sowohl durch Datenoffenlegung als auch durch Systemunterbrechung unter Druck zu setzen.

Sophos bewertet die Kampagne als finanziell motiviert. Die Betreiber können die Ransomware selbst einsetzen oder nach der Kompromittierung eines Netzwerks Zugang an separate Ransomware-Affiliates vermitteln.

Auch andere Bedrohungsgruppen haben Microsoft Teams für Social Engineering genutzt. Die vom iranischen Staat unterstützte Gruppe MuddyWater hat Teams und gefälschte Ransomware-Aktivitäten eingesetzt, um Spionageoperationen zu verschleiern.

Chaos-bezogene Kampagnen haben auch andere Techniken eingesetzt. In einem separaten Vorfall nutzte die Chaos-Ransomware msaRAT, um bösartigen Datenverkehr in Chrome und Edge zu tarnen.

Wie Unternehmen Teams-Vishing-Angriffe blockieren können

Unternehmen sollten die externe Kommunikation über Microsoft Teams einschränken oder Nachrichten und Anrufe von Konten außerhalb der Organisation genau überwachen.

Mitarbeiter sollten niemals eine unerwartete Remote-Support-Anfrage genehmigen, ohne sie über eine offizielle interne Kontaktmethode zu bestätigen. IT-Abteilungen sollten außerdem klar erklären, welche Tools ihre Techniker verwenden und wie legitime Support-Anfragen beginnen.

Sicherheitsteams sollten Schnellhilfe, RemSupp, AnyDesk, DWAgent und ähnliche Software auf Systemen blockieren oder einschränken, die keine Fernverwaltung benötigen.

Unternehmen sollten ungewöhnliche PowerShell-Aktivitäten überwachen, einschließlich unerwarteter Downloads oder kodierter Befehle, sowie die Installation neuer oder nicht autorisierter Fernverwaltungsanwendungen. Diese Verhaltensweisen können darauf hindeuten, dass ein Angreifer ersten Zugriff erlangt hat und versucht, die Kontrolle über ein System zu übernehmen.

Sie sollten auch auf verdächtige Registrierungseinträge achten, die legitime Audiosoftware imitieren, auf Versuche, das Remotedesktopprotokoll zu aktivieren, sowie auf externe Microsoft-Teams-Konten, die sich als interner Support ausgeben. Zusammen können diese Indikatoren helfen, Social Engineering und Aktivitäten nach einer Kompromittierung frühzeitig in einer Angriffskette zu erkennen.

In weiteren Sicherheitsnachrichten hat Microsoft kämpft mit der Behebung von Schwachstellen, die von Anthropics Claude Mythos identifiziert wurden. Da die Sicherheitsforschung zunehmend automatisiert wird, könnten auch Angreifer Softwareschwachstellen schneller finden und ausnutzen.

Via BleepingComputer