Angreifer nutzen externe Chats in Microsoft Teams, um sich als IT-Support auszugeben und Mitarbeitende zu überzeugen, Fernzugriff zu gewähren, so Arctic Wolf Labs. In Hunderten Fällen stellte das Unternehmen den wiederkehrenden Einsatz von Wegwerf-Mandanten für Microsoft 365, support-bezogenen Identitäten und legitimer Fernzugriffssoftware fest. In einigen Fällen mündeten die Eindringversuche in die Ausführung von Malware und eine weitreichendere Kompromittierung.
Die Aktivität zielt auf Organisationen ab, die externen Zugriff in Teams erlauben. Arctic Wolf beschreibt die Methode als Missbrauch von Vertrauen und nicht als Ausnutzung einer Softwareschwachstelle, laut Erkenntnissen, über die The Hacker News berichtete.
Von der Postfachüberflutung zum Fernzugriff
In vielen Fällen überschwemmen Angreifer zunächst das Postfach einer Mitarbeiterin oder eines Mitarbeiters innerhalb kurzer Zeit mit Hunderten Newsletter- oder Abo-Bestätigungen. Danach trifft eine Nachricht über Teams ein, die angebliche IT-Hilfe anbietet. Die Störung wird so zum Vorwand für den Kontakt.
Die Nachrichten stammen von Identitäten, die in neu erstellten oder übernommenen Microsoft-365-Mandanten angelegt wurden. Die Angreifer verwenden Namen wie „Help Desk“, „IT Support“ und „Enterprise IT & Security (Internal)“, damit externe Konten trotz der Warnungen von Teams vor externen Nutzern vertraut wirken. Zuletzt beobachtete Arctic Wolf, dass die Angreifer den Namen oder die Domain der Zielorganisation in die Anzeigenamen aufnehmen.
Etwa 30–40 % der von Arctic Wolf untersuchten Fälle nutzten *.onmicrosoft[.]com, die dauerhafte Ausweich-Domain, die Microsoft bei der Erstellung eines Mandanten automatisch vergibt. Beobachtete Beispiele waren helpdeskteam365.onmicrosoft[.]com und itendpoint365.onmicrosoft[.]com.
Arctic Wolf berichtete außerdem über eine kürzliche Verlagerung hin zu kostenpflichtigen Domains. Unter den kostenpflichtigen Domains, die in diesen Betrugsfällen in den vergangenen Monaten identifiziert wurden, nutzten etwa 50 % der gefälschten Identitäten .top, rund 40 % .com und knapp über 5 % mehrstufige Domains wie .com.pl, .com.vn und .com.br.
Sprachbasiertes Social Engineering hilft dabei, das Opfer vom Chat dazu zu bringen, über legitime Werkzeuge praktischen Zugriff zu gewähren. Beobachtet wurden unter anderem Quick Assist, AnyDesk, ScreenConnect (ConnectWise), TeamViewer, Atera, Zoho Assist, NetSupport und LogMeIn.
Was die Fernsitzung ermöglicht
Nach der Verbindung können Angreifer die Sitzung für Aufklärung, die Zustellung weiterer Payloads und seitliche Bewegung im Netzwerk nutzen. Der Bericht nennt die Verbreitung der GoGRPC-Backdoor, den Vorstoß zu Domänencontrollern und die Installation von Level als zusätzliches Fernzugriffswerkzeug zur redundanten Absicherung. Einige Angriffe führten bis zum Abfluss sensibler Daten und zur Verbreitung von Ransomware.
Der Bericht beschreibt Ähnlichkeiten mit der unter STAC4749 erfassten Aktivität, die IT-bezogene .top-Cloud-Domains und plausibel wirkende Benutzernamen von Mitarbeitenden verwendet hat. Sophos hat Angriffe, die mit dieser Aktivität in Verbindung stehen, mit der Verbreitung der Chaos-Ransomware in Verbindung gebracht. Der Vergleich belegt jedoch nicht, dass jeder Teams-Identitätsfall vom selben Akteur oder derselben Ransomware-Familie ausging.
Ein Fall folgte einer anderen Ausführungskette. Der Angreifer forderte einen Nutzer auf, einen PowerShell-Befehl auszuführen, der ein MSI-Installationsprogramm aus Microsoft Azure Blob Storage herunterlud und startete. Das Installationsprogramm startete ein PowerShell-Skript, das ein eingebettetes Python-Implantat entpackte und ausführte. Diese Backdoor löste eine weitere MSI-Transaktion aus, fragte per LDAP alle Computer- und Benutzerobjekte im Active Directory ab und übermittelte die Ergebnisse an einen externen Server.
Arctic Wolf erklärte, Angreifer verzichteten in der Regel darauf, Payload-URLs direkt in Teams abzulegen, wo Safe Links / ZAP sie prüfen könnten. Stattdessen rufen sie den Payload während der Fernsitzung selbst auf. Deshalb seien Telemetriedaten von Endgeräten und Identitäten neben der Nachrichtenprüfung wesentliche Überwachungsquellen, so das Unternehmen.
