Gefälschter IT-Support über Microsoft Teams treibt Ransomware-Welle an

Angreifer geben sich als Helpdesk-Mitarbeiter in Microsoft Teams aus

Eine finanziell motivierte Hackergruppe missbraucht Microsoft Teams, um in Unternehmensnetzwerke einzudringen, berichten von Cybersecurity Dive zitierte Forscher. Die Kampagne hat Dutzende von Unternehmen in den USA und Kanada getroffen, wobei gefälschte IT-Support-Personas genutzt werden, um Mitarbeiter dazu zu bringen, Fernzugriff auf ihre Rechner zu gewähren. Einmal drinnen, setzen die Angreifer Ransomware ein, verschlüsseln Dateien und fordern Lösegeld.

Anders als bei vielen prominenten Einbrüchen, die mit staatlicher Spionage in Verbindung stehen, scheint diese Operation rein finanziell motiviert zu sein. Die Angreifer haben es nicht auf Geheimdienstinformationen oder langfristige Überwachungszugänge abgesehen. Sie wollen eine Auszahlung, und Microsoft Teams ist dabei zu einem bequemen Werkzeug geworden, um diese zu erlangen.

So funktioniert der Betrug

Die Taktik basiert auf Social Engineering und nicht auf einer Software-Schwachstelle. Die Angreifer treten über Microsoft Teams an Mitarbeiter heran und geben sich als interne IT-Support-Mitarbeiter aus. Da Teams in den meisten Unternehmen ein vertrauenswürdiges, alltägliches Kommunikationsmittel ist, sind die Mitarbeiter weit eher geneigt, ihre Wachsamkeit zu senken, als bei einer unerwünschten E-Mail oder einem Anruf von einer unbekannten Nummer.

Sobald ein Mitarbeiter überzeugt ist, mit einem legitimen IT-Support zu sprechen, bringt der Angreifer ihn dazu, Fernzugriff auf seinen Computer zu gewähren – oft unter dem Vorwand, ein technisches Problem zu beheben. Von dort aus können die Eindringlinge sich seitlich im Netzwerk bewegen, Zugangsdaten sammeln und schließlich Ransomware auf gemeinsame Systeme und Server ausbringen.

Dieses Vorgehen spiegelt einen breiteren Trend in der Cyberkriminalität wider: Angreifer setzen zunehmend auf Identitätsdiebstahl und die Ausnutzung von Vertrauen anstelle technischer Exploits, denn es ist oft einfacher, jemanden zu überzeugen, die Tür zu öffnen, als eine Firewall zu durchbrechen.

Die Folgen für den Datenschutz bei einem Ransomware-Angriff

Während Ransomware üblicherweise als Problem der Geschäftskontinuität dargestellt wird, sind verschlüsselte Dateien und gesperrte Systeme nur ein Teil der Geschichte. Diese Kampagnen beinhalten oft den Abfluss von Daten, bevor die Verschlüsselung überhaupt beginnt, was bedeutet, dass Mitarbeiterdaten, Kundeninformationen und interne Kommunikation möglicherweise bereits in den Händen der Angreifer sind, wenn die Lösegeldforderung erscheint.

Diese Daten verschwinden nicht unbedingt, sobald ein Lösegeld bezahlt oder ein System wiederhergestellt ist. Sie können verkauft, veröffentlicht oder für zukünftige Erpressungen zurückgehalten werden. Die Konsequenzen gehen weit über das betroffene Unternehmen hinaus. Mitarbeiter, deren Zugangsdaten gesammelt wurden, Kunden, deren Unterlagen auf kompromittierten Servern gespeichert waren, und Partner, die sensible Dateien ausgetauscht haben – sie alle können bloßgestellt werden.

Die Infrastruktur hinter diesen Kampagnen hängt oft von Hosting-Anbietern ab, die bereit sind, wegzusehen. Die Strafverfolgungsbehörden haben dieses Problem andernorts bereits bemerkt: Niederländische Behörden haben kürzlich 800 Server beschlagnahmt und zwei Personen festgenommen, die mit einem Bulletproof-Hosting-Betrieb in Verbindung standen, der Cyberkriminalität unterstützt hatte – eine Erinnerung daran, dass Ransomware-Kampagnen selten isoliert operieren. Sie stützen sich auf ein breiteres Ökosystem aus Hosting-, Geldwäsche- und Verteilungsdiensten, das Grenzen überspannt.

Was das für Sie bedeutet

Wenn Ihr Unternehmen Microsoft Teams nutzt – und die meisten tun das –, ist diese Kampagne eine direkte Warnung, dass interne Chat-Plattformen jetzt ebenfalls praktikable Angriffsvektoren sind, nicht nur E-Mail-Postfächer. IT-Abteilungen sollten unerwünschte Teams-Nachrichten von „Support“-Kontakten mit der gleichen Vorsicht behandeln, die üblicherweise Phishing-Mails vorbehalten ist.

Für einzelne Mitarbeiter ist die Lehre einfach: Der legitime IT-Support nimmt selten auf diese Weise Kontakt auf und verlangt fast nie, spontan Fernzugriff zu gewähren, ohne eine vorherige Überprüfung über ein bekanntes Ticketsystem oder einen internen Kanal. Wenn sich etwas gehetzt oder ungewöhnlich dringlich anfühlt, ist diese Dringlichkeit oft das Warnsignal.

Für Unternehmen, die Kunden- oder Mitarbeiterdaten verarbeiten, unterstreicht diese Kampagne auch, warum Datenminimierung und Netzwerksegmentierung wichtig sind. Die Menge an sensiblen Informationen, die auf einem einzelnen zugänglichen System liegt, zu begrenzen, reduziert das, was ein Angreifer abzieht, selbst wenn er die erste Verteidigungslinie überwindet.

Praktische Schritte, um Ihr Risiko zu verringern

• Überprüfen Sie jeden IT-Support-Kontakt über ein offizielles Ticketsystem oder eine bekannte interne Telefonnummer, bevor Sie Fernzugriff auf Ihr Gerät gewähren.
• Aktivieren Sie die Multi-Faktor-Authentifizierung für Teams, E-Mail und Fernzugriffstools, damit eine einzelne kompromittierte Anmeldeinformation nicht ausreicht, um sich seitlich zu bewegen.
• Schulen Sie Mitarbeiter gezielt zu teamsbasierten Identitätsdiebstahl-Taktiken, nicht nur zu E-Mail-Phishing, denn die Angreifer diversifizieren eindeutig ihre Einstiegspunkte.
• Segmentieren Sie sensible Daten und beschränken Sie administrative Rechte, sodass ein einzelnes kompromittiertes Konto nicht das gesamte Netzwerk erreichen kann.
• Pflegen Sie offline gespeicherte und getestete Backups, damit Ransomware-Forderungen ihren Hebel verlieren.

Diese Microsoft-Teams-Ransomware-Kampagne ist eine Erinnerung daran, dass Angreifer dorthin gehen, wo bereits Vertrauen besteht. Da Unternehmen sich im täglichen Betrieb zunehmend auf Kollaborationsplattformen stützen, werden genau diese Werkzeuge zu attraktiven Zielen für Identitätsbetrug. Auf unerwartete „Support“-Anfragen aufmerksam zu bleiben, Identitäten über getrennte Kanäle zu verifizieren und die Sicherheitsschulung aktuell zu halten, sind einfache, aber wirkungsvolle Wege, um einen Schritt voraus zu sein.