Microsoft Teams-Betrugsmaschen führen von gefälschten IT-Chats zu ransomware
Microsoft Teams-Betrugsmaschen nutzen externe Chats, gefälschte IT-Support-Identitäten und legitime Software für remote access, um von social engineering zu malware und in einigen Fällen zu ransomware überzugehen. Arctic Wolf Labs gibt an, das wiederkehrende Muster in Hunderten untersuchten Fällen identifiziert zu haben. Dabei verwendeten die Angreifer wiederholt einige derselben kurzlebigen Umgebungen vom Typ Microsoft 365 tenant, Support-bezogene Anzeigenamen, Tools für remote access und payload domains.
Die Nachrichten stammen von Identitäten, die über neue oder übernommene Umgebungen vom Typ Microsoft 365 tenant erstellt wurden, also separate Cloud-Umgebungen, die für Organisationen eingerichtet werden. Die Angreifer wählen Namen wie Help Desk, IT Support, HelpDesk Manager, HelpDesk Supervisor, Maintenance Service und IT/Help Desk. Zu weiteren beobachteten Identitäten gehörten Enterprise IT & Security (Internal), IT Tech Support Internal und IT Service Desk-Konten, die mit freundlich wirkenden Vornamen kombiniert wurden. Arctic Wolf zufolge wurde bei jüngsten Versuchen auch der Name oder die domain des Zielunternehmens in den Anzeigenamen aufgenommen. Diese Auswahl soll das Konto intern erscheinen lassen, obwohl Teams eine Warnung für externe Benutzer anzeigt.
In etwa 30 bis 40 Prozent der von Arctic Wolf untersuchten Fälle wurde eine Adresse unter *.onmicrosoft[.]com verwendet. Microsoft erstellt diese dauerhafte fallback domain automatisch, wenn ein Microsoft 365 tenant eingerichtet wird. Die Angreifer wählten Support-bezogene tenant names wie helpdeskteam365.onmicrosoft[.]com, itendpoint365.onmicrosoft[.]com, itcoreportal.onmicrosoft[.]com, itadmin922.onmicrosoft[.]com und corporateitservicellc.onmicrosoft[.]com, damit die Identitäten der IT-Infrastruktur eines Unternehmens ähnelten.
Viele Vorfälle begannen mit email bombing, bei dem innerhalb kurzer Zeit Hunderte Newsletter-Anmeldungen oder Abonnementbestätigungen im Posteingang des Opfers eingingen. Anschließend erschien in Teams eine betrügerische Support-Nachricht, die anbot, das vermeintliche Problem zu beheben. Die Menge an E-Mails erzeugt Dringlichkeit und liefert dem Betrüger eine zeitlich passende Erklärung für die Kontaktaufnahme. Mitarbeiter und Websitebetreiber sollten einen unerwarteten Support-Chat, der unmittelbar auf eine Überflutung des Posteingangs folgt, daher als möglichen Teil desselben Angriffs behandeln und nicht als unabhängiges Hilfsangebot.
Arctic Wolf stellte außerdem eine Verlagerung hin zu kostenpflichtigen top-level domains oder TLDs fest, also den Endungen von Internet-domains. Von den kostenpflichtigen domains, die das Unternehmen in den vorangegangenen Monaten bei diesen Betrugsmaschen identifizierte, verwendeten rund 50 Prozent der gefälschten Identitäten .top, etwa 40 Prozent .com und etwas mehr als fünf Prozent mehrstufige Endungen wie .com.pl, .com.vn und .com.br. Die Aktivitäten entsprechen dem als STAC4749 verfolgten Cluster, das bereits zuvor IT-bezogene Cloud-domains unter .top erstellt und plausibel wirkende Benutzernamen von Mitarbeitern verwendet hat. Sophos hat Angriffe im Zusammenhang mit diesen Aktivitäten mit dem Einsatz von Chaos ransomware in Verbindung gebracht, einer malware, die Daten unzugänglich macht und eine Zahlung fordert.
Die Kampagnen richten sich gegen Organisationen, die externen Zugriff auf Teams zulassen. Die Angreifer setzen zusätzlich vishing ein, also betrügerische Sprachanrufe, und bringen Opfer dazu, ihnen über legitime RMM-Software interaktive Kontrolle zu gewähren. Zu den in den Fällen beobachteten Tools gehören Quick Assist, AnyDesk, ScreenConnect (ConnectWise), TeamViewer, Atera, Zoho Assist, NetSupport und LogMeIn. Da es sich dabei um echte Verwaltungsprodukte handelt, belegt ihre bloße Anwesenheit noch keine böswilligen Aktivitäten. Die Gefahr entsteht, wenn ein nicht verifizierter Anrufer oder Chat-Kontakt einen Benutzer dazu bringt, eine Sitzung zu starten und die Kontrolle abzugeben.
Nach dem Herstellen der Verbindung haben Angreifer diesen Zugriff genutzt, um die Umgebung zu untersuchen, die GoGRPC backdoor zu installieren, sich zwischen Systemen zu bewegen und domain controllers zu erreichen, die Identitäten und Zugriffsrechte in einem Windows-Netzwerk verwalten. Außerdem installierten sie ein weiteres RMM-Tool namens Level, um einen zweiten Zugangsweg in die Umgebung aufrechtzuerhalten. Arctic Wolf zufolge kann die Abfolge bis zum Diebstahl vertraulicher Informationen und zur Ausführung von ransomware führen. Die Forscher dokumentierten außerdem eine Untergruppe von Fällen, in denen die Angreifer Microsofts Notizen verwendeten.
Anstatt eine schädliche Adresse direkt in Teams zu posten, riefen die Angreifer die payload nach Erlangung der Fernsteuerung in der Regel selbst auf. Laut Arctic Wolf verhindert dies, dass die Adresse an einer Stelle erscheint, an der Microsofts Safe Links- und ZAP-Kontrollen zur Nachrichtenprüfung sie untersuchen würden. Dieses Verhalten bedeutet, dass message filtering kein vollständiges Bild liefern kann. Organisationen müssen außerdem endpoint activity, also Ereignisse auf den Computern der Benutzer, sowie identity activity im Zusammenhang mit Konten und Zugriffsversuchen überprüfen.
In einem Fall wies ein Angreifer das Opfer an, einen PowerShell-Befehl auszuführen und damit eine Datei abzurufen und zu öffnen. Der Befehl lud einen MSI installer, also ein Windows-Paket zur Softwareinstallation, aus Microsoft Azure Blob Storage herunter. Bei dessen Ausführung wurde ein PowerShell-Skript gestartet, das ein eingebettetes Python implant extrahierte und ausführte. Diese backdoor startete anschließend eine weitere MSI-Transaktion und führte LDAP-Abfragen gegen Active Directory aus. Dabei wurden sämtliche Computer- und Benutzerobjekte erfasst, bevor die Informationen an einen externen Server gesendet wurden.
Die Vorfälle nutzen Vertrauen statt einer Software-Schwachstelle aus, weshalb die Installation eines patches den ursprünglichen Angriffsweg nicht beseitigt. Unternehmen sollten unerwartete Support-Kontakte über eine bereits bekannte Telefonnummer oder einen internen Kanal überprüfen, den externen Teams-Zugriff beschränken, wenn er nicht erforderlich ist, und streng kontrollieren, wer remote support sessions starten darf. Organisationen, die dieses Risiko bewerten möchten, bietet AEU-I sicherheitsorientierte IT-, Infrastruktur- und Beratungsleistungen. Die zentrale Warnung für Websitebetreiber und IT-Teams lautet, dass ein routinemäßig wirkender Support-Chat zu einem Weg für die Erkundung von Konten, Datendiebstahl und ransomware werden kann, sobald remote access gewährt wurde.