Cyberkriminelle nutzen die externe Chatfunktion von Microsoft Teams, um sich als interne IT-Mitarbeiter auszugeben und Schadsoftware in Unternehmen einzuschleusen.
Angreifer missbrauchen externe Chats
Microsoft Teams − Wiederkehrendes Social-Engineering-Muster
Bildquelle: Natee Meepian / Shutterstock.com
Arctic Wolf Labs hat mehr als 400 Sicherheitsvorfälle untersucht und dabei wiederkehrende Muster bei den verwendeten Identitäten, technischen Werkzeugen und Angriffsdomänen festgestellt.
Gefälschter IT-Support soll Vertrauen schaffen
Bei den beobachteten Angriffen geben sich die Täter häufig als IT-Support aus. Sie verwenden dafür Anzeigenamen wie „IT Support (Internal)“ und wählen Vornamen, die vertrauenswürdig wirken sollen. Der Zusatz „(Internal)“ soll offenbar den Eindruck erwecken, es handle sich um eine interne Kontaktperson. Auf diese Weise versuchen die Angreifer, Warnhinweise von Microsoft Teams vor externen Nutzern weniger auffällig erscheinen zu lassen.
Die Kontaktaufnahme dient dazu, Mitarbeitende zu einer Interaktion mit den Angreifern zu bewegen. Über die Chats können diese ihre Opfer manipulieren oder schädliche Dateien verbreiten, um den ersten Zugang zu Unternehmenssystemen zu erlangen.
Angreifer vereinheitlichen ihre Infrastruktur
Neben den wiederkehrenden Kommunikationsmustern hat Arctic Wolf auch Gemeinsamkeiten bei der technischen Infrastruktur festgestellt. Die Täter greifen wiederholt auf dieselben temporär eingerichteten Microsoft-Tenants und Fernzugriffswerkzeuge zurück. Das deutet auf standardisierte Abläufe hin, die bei mehreren Angriffen eingesetzt werden.
Auch bei den verwendeten Domains ist eine Veränderung zu erkennen. Während Angreifer zunächst häufig temporäre Tenants mit Domains unter .onmicrosoft.com nutzten, setzen sie zunehmend auf selbst kontrollierte Domains zur Bereitstellung ihrer Schadsoftware. Bei etwa der Hälfte der untersuchten Fälle mit kostenpflichtigen Domains handelte es sich um .top-Adressen.
Früherkennung bereits beim Erstellen des Chats
Ein wichtiger Ansatzpunkt für die Abwehr ist laut Arctic Wolf der Zeitpunkt, an dem der externe Chat angelegt wird. Das Unternehmen kann entsprechende Aktivitäten bereits in der Phase „ChatCreated“ erkennen. Dadurch besteht die Möglichkeit, verdächtige Kontakte zu untersuchen und gegebenenfalls zu blockieren, bevor Mitarbeitende überhaupt mit den Angreifern kommunizieren.
Die Analyse zeigt, dass Unternehmen bei der Absicherung von Microsoft Teams nicht nur auf verdächtige Nachrichten und Dateianhänge achten sollten. Auch die Erstellung externer Chats, auffällige Anzeigenamen und wiederkehrende technische Merkmale können Hinweise auf koordinierte Social-Engineering-Aktivitäten liefern.
(red/Arctic Wolf)
