Microsoft Teams: Neue Vishing-Angriffe führen in weniger als 17 Stunden zur Ransomware

Microsoft Teams als Einfallstor für Ransomware

Ein kurzer Teams-Anruf genügt – und weniger als einen Arbeitstag später stehen sämtliche Unternehmensdaten verschlüsselt still. Genau dieses Szenario beobachtet Sophos derzeit bei einer neuen Angriffswelle gegen Microsoft-365-Unternehmen.

Cyberkriminelle missbrauchen dabei das Vertrauen, das Mitarbeitende in Microsoft Teams und den IT-Support haben. Statt Sicherheitslücken auszunutzen, setzen sie auf geschicktes Social Engineering: Sie geben sich als IT-Support aus und überreden ihre Opfer dazu, einen Fernzugriff über Microsoft Quick Assist oder andere Fernwartungstools zu starten.

Die Folgen können gravierend sein. In einem dokumentierten Fall vergingen weniger als 17 Stunden zwischen dem ersten Teams-Kontakt und der vollständigen Verschlüsselung der Unternehmensdaten durch die Chaos-Ransomware.

So läuft der Angriff ab

Der Angriff beginnt mit einer Teams-Nachricht oder einem Teams-Anruf eines externen Kontos. Die Angreifer behaupten beispielsweise, ein Sicherheitsproblem beheben oder ein dringend notwendiges Update durchführen zu müssen.

Im nächsten Schritt wird das Opfer aufgefordert, Microsoft Quick Assist oder eine andere vom Betriebssystem bereitgestellte beziehungsweise frei verfügbare Fernwartungslösung zu starten. Gerade Quick Assist wird häufig missbraucht, weil das Werkzeug bereits in Windows integriert ist und dadurch bei vielen Anwendern einen vertrauenswürdigen Eindruck hinterlässt.

Sobald der Fernzugriff freigegeben wurde, installieren die Angreifer weitere Werkzeuge wie PowerShell-Skripte, Loader oder Backdoors und bereiten anschliessend die eigentliche Ransomware-Infektion vor.

Teilweise kamen dabei auch bekannte Fernwartungslösungen wie AnyDesk, DWAgent oder das weniger bekannte RemSupp zum Einsatz. Um ihre Aktivitäten zu verschleiern, wurden Registry-Einträge mit harmlos klingenden Namen wie Realtek HD Audio, Realtek Audio UHD oder WinAudio life2 angelegt.

Warum dieser Angriff so erfolgreich ist

Viele Unternehmen kommunizieren täglich mit internen und externen IT-Dienstleistern über Microsoft Teams. Genau dieses Vertrauen nutzen die Angreifer aus. Anders als klassische Phishing-E-Mails wirken Teams-Nachrichten oft glaubwürdig und lösen deutlich weniger Misstrauen aus.

Besonders kritisch ist, dass hierbei keine Sicherheitslücke in Microsoft Teams oder Windows ausgenutzt wird. Stattdessen manipulieren die Angreifer ihre Opfer gezielt dazu, selbst einen legitimen Fernzugriff zu starten. Genau deshalb kann jedes Unternehmen betroffen sein – unabhängig davon, wie aktuell seine Systeme sind.

Unsere Empfehlung für Unternehmen

Unternehmen sollten ihre Microsoft-Teams-Konfiguration sowie ihre internen Supportprozesse überprüfen. Folgende Massnahmen reduzieren das Risiko erheblich:

• Externe Teams-Chats und Teams-Anrufe auf das notwendige Minimum beschränken.
• Externe Benutzer in Microsoft Teams eindeutig kennzeichnen.
• Mitarbeitende regelmässig sensibilisieren und klar kommunizieren, dass Fernzugriffe niemals ungefragt erfolgen.
• Supportanfragen immer über bekannte Kommunikationswege oder bestehende Tickets bestätigen.
• Quick Assist, AnyDesk und andere Fernwartungstools nur kontrolliert zulassen oder per Application Control einschränken.
• DNS- und Webfilter um bekannte Angreifer-Domänen ergänzen.
• EDR- oder RMM-Lösungen auf unerwartete Installationen von Fernwartungssoftware sowie verdächtige Registry-Einträge überwachen.
• Microsoft Teams External Access nur für benötigte Organisationen freigeben oder externe Benutzer deutlich kennzeichnen.

Warum Backups trotz guter Sicherheitsmassnahmen unverzichtbar sind

So wichtig Prävention auch ist – einen erfolgreichen Angriff kann kein Unternehmen mit absoluter Sicherheit ausschliessen. Moderne Ransomware-Gruppen entwickeln ihre Methoden laufend weiter und setzen gezielt auf menschliche Fehler statt auf technische Schwachstellen.

Deshalb gehört eine zuverlässige Backup-Strategie zu jeder Sicherheitslösung. Ein regelmässig geprüftes, von der produktiven IT getrenntes Backup ermöglicht es, verschlüsselte Daten und Systeme wiederherzustellen und den Geschäftsbetrieb deutlich schneller wieder aufzunehmen.

Besonders wichtig ist dabei, dass die Datensicherung nicht nur vorhanden ist, sondern auch regelmässig überprüft wird. Erst ein erfolgreich getestetes Backup gibt die Gewissheit, dass sich Daten und Systeme im Ernstfall tatsächlich wiederherstellen lassen.

Ebenso wichtig ist eine 3-2-1-1-0-Backup-Strategie: Mehrere Sicherungskopien auf unterschiedlichen Speichermedien, davon mindestens eine Kopie ausserhalb des Unternehmens und mindestens eine unveränderbare (Immutable) Sicherung. So bleibt selbst dann eine saubere Datensicherung erhalten, wenn Angreifer versuchen, vorhandene Backups zu löschen oder zu verschlüsseln.

Ein häufiger Irrtum ist zudem, dass Microsoft 365 bereits ein vollständiges Backup der Unternehmensdaten bereitstellt. Tatsächlich stellt Microsoft in erster Linie die Verfügbarkeit des Dienstes sicher – für die langfristige Sicherung und Wiederherstellung Ihrer Daten sind Unternehmen jedoch selbst verantwortlich. Mehr dazu erfahren Sie in unserem Blogbeitrag Microsoft 365 ist kein vollständiges Backup.

So unterstützt SM Informatik

Als IT-Dienstleister setzen wir auf klar definierte Supportprozesse. Unsere Mitarbeitenden werden niemals unangekündigt über ein externes Microsoft-Teams-Konto einen Fernzugriff verlangen. Support erfolgt ausschliesslich über bekannte Kommunikationswege und kann jederzeit über unsere offiziellen Kontaktdaten bestätigt werden.

Wir unterstützen Unternehmen bei der sicheren Konfiguration von Microsoft Teams und Microsoft 365, beim Schutz der Endgeräte mit modernen Sicherheitslösungen sowie beim Aufbau einer zuverlässigen Backup-Strategie. Mit professionellen Backup-Lösungen – beispielsweise auf Basis von Veeam – sowie regelmässigen Wiederherstellungstests sorgen wir dafür, dass Daten im Ernstfall schnell und zuverlässig wiederhergestellt werden können.

Fazit

Der aktuelle Angriff zeigt eindrücklich, dass Cyberkriminelle heute nicht mehr primär Sicherheitslücken ausnutzen, sondern das Vertrauen der Mitarbeitenden. Ein einziger Teams-Anruf kann ausreichen, um innerhalb weniger Stunden eine komplette Unternehmensumgebung zu kompromittieren.

Wer klare Supportprozesse etabliert, externe Kommunikation sinnvoll einschränkt, seine Mitarbeitenden sensibilisiert und gleichzeitig auf eine moderne Backup-Strategie setzt, reduziert das Risiko erheblich und ist im Ernstfall deutlich schneller wieder arbeitsfähig.

Quellen:

• Sophos – Microsoft Teams Vishing führt zu Chaos Ransomware
• BleepingComputer – Microsoft Teams Vishing Attacks Lead to Chaos Ransomware