Angriffe, bei denen sich Betrüger als technischer Support ausgeben, zielen auf Microsoft Teams ab und nutzen dabei legitime Tools aus.
Der Missbrauch von Microsoft Teams durch Hacker, die sich als technischer Support ausgeben, ist wieder ein Problem. Erfahren Sie, wie Hacker legitime Tools ausnutzen, um ihre Angriffe zu verschleiern, und erhalten Sie Tipps, wie Sie Ihr Unternehmen noch heute schützen können!
Die wichtigsten Dinge, die Sie wissen müssen
- Spoofing-Angriffe auf den technischen Support umfassen mehrere Phasen, beginnend mit Malware und fortschreitend zur Datenextraktion oder zum Einsatz von Ransomware, wobei native Tools wie ADSI zur lateralen Bewegung ausgenutzt werden.
- Mehrere Bedrohungsgruppen, wie beispielsweise Cozy Bear, FIN7 und ShinyHunters, nutzen Teams-basierte Techniken zur Nachahmung des technischen Supports, wobei sich einige eher auf Datendiebstahl als auf Ransomware konzentrieren.
- Microsoft empfiehlt, die Benutzer zu sensibilisieren und auf unerwünschte Support-Mitteilungen zu achten, während gleichzeitig Microsoft Defender für Office 365 sowie die Funktionen Safe Links und ZAP zur Neutralisierung von Bedrohungen eingesetzt werden.
Microsoft warnt vor einer laufenden Hacker-Kampagne, die mit einer Nachricht in Teams beginnt und mit einer Ransomware-Infektion und dem Diebstahl von Daten endet.
Ein neuer, detaillierter Bericht, der im Microsoft-Blog veröffentlicht wurde, besagt, dass unbekannte Bedrohungsakteure über den Teams-Chat Kontakt zu ihren Zielen in verschiedenen Unternehmen aufnehmen und sich dabei als Mitarbeiter des technischen Supports ausgeben.
Sie würden ihre Opfer zwingen, ihnen Fernzugriff über Bildschirmfreigabe oder Fernüberwachungs- und -verwaltungstools zu gewähren, und sobald sie diesen Zugriff erlangt hätten, würden sie ihn nutzen, um Malware-Downloader und verschiedene andere Schadsoftware zu installieren.
Wie man sich über Teams vor Phishing-Angriffen schützt
Die Schadsoftware war nur die erste Phase des Angriffs. Zu den nachfolgenden Phasen gehörten die Aufklärung des Hostsystems, das Aufspüren von Sicherheits- und Virtualisierungsprodukten sowie die „regelmäßige Bildschirmaufnahme“ – mit anderen Worten die Kartierung der Systemlandschaft und die Durchführung von Überwachung.
Anschließend listen die Betrüger Domänenkonten, Server und Benutzer mithilfe nativer Tools und Active Directory Service Interfaces (ADSI)-Abfragen auf und beginnen, sich seitwärts zu bewegen.
Der letzte Schritt besteht in der Identifizierung und Extraktion wertvoller Daten, gefolgt von der Infektion mit Ransomware.
Microsoft nennt die Täter nicht namentlich , sondern spricht oft von „Bedrohungsakteuren“. Das ist nachvollziehbar, da die Masche des „gefälschten technischen Supports über Teams“ derzeit von mehreren Gruppen eingesetzt wird. Die russischen Gruppen Cozy Bear, FIN7 und Storm-1811 sind hierfür wohl die bekanntesten Beispiele.
Die weltweit größte Erpressergruppe, ShinyHunters, ist auch dafür bekannt, Teams zu nutzen, um Opfer zur Gewährung des Zugriffs zu verleiten. Diese Gruppe setzt jedoch selten Verschlüsselungssoftware ein, sondern konzentriert sich ausschließlich auf Datendiebstahl.
Ungeachtet dessen, wer die Angreifer sind und welche Ziele sie verfolgen, ist eines sicher: Das Risiko im Unternehmensumfeld war noch nie größer.
Aus diesem Grund empfiehlt Microsoft, das Bewusstsein der Benutzer zu schärfen, indem interne Authentifizierungsphrasen für den Helpdesk erstellt und die Mitarbeiter darin geschult werden, Indikatoren von Drittanbietern zu erkennen.
Microsoft rät Unternehmen dringend , unaufgeforderte Supportanfragen zu untersuchen und die Sicherheit von Microsoft Teams und E-Mails gegen Social Engineering zu verbessern. Microsoft empfiehlt: „Verwenden Sie Microsoft Defender für Office 365 mit sicheren Links und der automatischen Löschung nach Null-Stunden-Funktion (ZAP), um sicherzustellen, dass schädliche Nachrichten und URLs beim Anklicken neutralisiert und nach der Zustellung entfernt werden.“
Kommentare sind geschlossen.