Microsoft-Teams-Vishing-Angriffe führen zu Chaos-Ransomware

Microsoft-Teams-Vishing-Angriffe werden eingesetzt, um Mitarbeiter dazu zu bringen, Angreifern Fernzugriff auf ihre Arbeitsgeräte zu gewähren. Anschließend können die Angreifer die Chaos-Ransomware einschleusen.

Sophos verfolgt die Kampagne unter der Bezeichnung STAC4749, nachdem zwischen Februar und Juni 2026 Dutzende Organisationen in Nordamerika ins Visier genommen wurden. Mindestens drei Angriffe endeten mit Ransomware. In einem Fall vergingen von der ersten Kontaktaufnahme bis zur Verschlüsselung der Dateien weniger als 17 Stunden.

Gefälschter IT-Support ruft Mitarbeiter an

Die Angreifer gaben sich über externe Microsoft-Teams-Konten als IT-Supportmitarbeiter aus. Sie kontaktierten Beschäftigte per Chat und Sprachanruf und versuchten anschließend, sie zum Start einer Fernwartungssitzung zu bewegen.

Die meisten Gespräche dauerten etwa zwei bis zweieinhalb Minuten. Sophos beobachtete jedoch auch Anrufe, die zwischen 90 Sekunden und mehr als 20 Minuten dauerten.

Rund 95 Prozent der Angriffe richteten sich gegen Organisationen in Kanada und den USA. Auf Kanada entfielen 50 Prozent der Fälle, auf die USA 45 Prozent.

Die Kampagne traf mehrere Branchen. Am häufigsten betroffen waren Dienstleistungen, Fertigung, Energie, Bauwesen und Ingenieurwesen.

Angreifer verwenden IT-bezogene Domains

Frühere Social-Engineering-Kampagnen über Teams nutzten häufig von Angreifern kontrollierte Microsoft-Tenants mit der Domain onmicrosoft.com. Bei dieser Kampagne kamen stattdessen IT-bezogene .top-Domains zum Einsatz, um glaubwürdiger zu wirken.

Beispiele waren sequrityupdate[.]top, scan-security[.]top, system-connect[.]top, corp-connect[.]top und supportsoft[.]top.

Die Angreifer verwendeten außerdem gefälschte Supportidentitäten, darunter Anthony Brooks, Dylan Harper, Ethan Parker und Jason Mitchell. Diese Aliasnamen schienen mit bestimmten schädlichen Domains verbunden zu sein.

Ziel war es, Mitarbeiter dazu zu bewegen, Microsoft Quick Assist zu verwenden oder Software für Fernüberwachung und Fernverwaltung zu installieren.

Fernzugriff führt zu dauerhaften Hintertüren

Sophos zufolge bevorzugte die Gruppe zunächst Quick Assist. Wenn der Dienst nicht verfügbar oder blockiert war, setzten die Angreifer das cloudbasierte Fernverwaltungstool RemSupp ein.

Ab April wurde RemSupp zur bevorzugten Option. Sophos vermutet, dass dies daran liegen könnte, dass das Tool seltener auf den Sperrlisten für Unternehmensanwendungen zu finden war.

Nach dem erfolgreichen Zugriff nutzten die Angreifer PowerShell, um eine Backdoor in den Ordner %AppData% des kompromittierten Benutzers herunterzuladen. Die Malware sammelte Systeminformationen, sorgte für Persistenz und ermöglichte den Angreifern dauerhaften Fernzugriff.

Um die Persistenzeinträge legitim erscheinen zu lassen, verwendeten die Angreifer Registry-Namen, die Komponenten von Realtek und Windows-Audiodiensten ähnelten. Beispiele waren „Realtek HD Audio“, „Realtek Audio UHD“ und „WinAudio life2“.

Bei Angriffen, die später zur Installation von Ransomware führten, richtete die Gruppe außerdem DWAgent oder AnyDesk als zusätzlichen Zugang ein. Zudem versuchten die Angreifer, das Remote Desktop Protocol zu aktivieren, um sich innerhalb des Netzwerks weiterzubewegen.

Chaos-Ransomware innerhalb von 17 Stunden installiert

Mindestens drei STAC4749-Angriffe führten zur Installation der Chaos-Ransomware. In einem Fall könnten die Angreifer Daten gestohlen haben, bevor sie die Dateien verschlüsselten.

Nach der Bereitstellung verschlüsselte Chaos-Ransomware Dateien gleichzeitig auf mehreren kompromittierten Geräten. Zudem wurden Lösegeldforderungen mit dem Dateinamen readme.chaos.txt erstellt.

Darin behaupteten die Angreifer, Daten gestohlen zu haben. Sie drohten mit deren Veröffentlichung, falls kein Lösegeld gezahlt werde.

Sophos zufolge dauerte es bei einem Vorfall weniger als 17 Stunden von der ersten Kontaktaufnahme über Microsoft Teams bis zur Ransomware-Installation. Der kurze Zeitraum deutet auf eine finanziell motivierte Operation hin. Die Gruppe könnte die Ransomware entweder selbst eingesetzt oder mit anderen Akteuren zusammengearbeitet haben.

Keine bestätigte Verbindung zu MuddyWater

Sophos zufolge ist das Ransomware-as-a-Service-Angebot Chaos mindestens seit Februar 2025 aktiv. Forscher vermuten, dass ehemalige Mitglieder der Ransomware-Gruppen BlackSuit und Royal daran beteiligt sein könnten. Beide Gruppen hatten Verbindungen zum größeren cyberkriminellen Conti-Ökosystem.

Microsoft Teams wird zunehmend als Kanal für Social Engineering bei Ransomware-Angriffen genutzt. Black-Basta-Affiliates setzten bereits 2024 ähnliche Methoden ein. Damals bombardierten sie Mitarbeiter zunächst mit E-Mails, bevor sie über Teams Kontakt aufnahmen.

In jüngerer Zeit wurde die vom Iran unterstützte Gruppe MuddyWater mit Teams-basierten Angriffen in Verbindung gebracht. Dabei soll Chaos-Ransomware als Ablenkung für Spionageaktivitäten eingesetzt worden sein.

Sophos fand jedoch keine Hinweise auf eine Verbindung zwischen STAC4749 und MuddyWater.

Meta-Beschreibung: Microsoft-Teams-Vishing-Angriffe geben sich als IT-Support aus, um Fernzugriff zu erhalten und Chaos-Ransomware in Nordamerika einzusetzen.