„Über diese Vorfälle hinweg hat sich ein gleichbleibendes Verhaltensmuster der Angreifer herausgebildet: dieselben Wegwerf-Tenants, dieselben Anzeigenamen wie ‚IT Support (Internal)‘, dieselben Fernzugriffswerkzeuge und zunehmend dieselben Payload-Domains", erklärte Arctic Wolf Labs.

Die Nachrichten stammen von Teams-Identitäten aus neu angelegten oder gekauften Microsoft-365-Tenants. Durchgängig werden IT-bezogene Anzeigenamen oder harmlos wirkende Vornamen genutzt, um die Warnhinweise vor externen Nutzern zu entwerten. In jüngeren Varianten ergänzen die Täter zusätzlich die Domain oder den Firmennamen der Zielorganisation im Anzeigenamen.

Beobachtete Anzeigenamen sind unter anderem:

  • Help Desk
  • IT Support
  • HelpDesk Manager
  • IT Service Desk – Liam / IT Service Desk (Liam)
  • IT Service Desk – Matt / IT Service Desk – Scott
  • IT Support – Christopher Thomas
  • HelpDesk Supervisor
  • Enterprise IT & Security (Internal)
  • IT Tech Support Internal
  • Business IT Solutions & Support (Internal)
  • Maintenance Service
  • IT-Representative
  • IT/Help Desk

In etwa 30 bis 40 Prozent der von dem Sicherheitsunternehmen untersuchten Fälle kommen Adressen unterhalb von *.onmicrosoft[.]com zum Einsatz – der permanenten Ausweichdomain, die Microsoft beim Anlegen eines Microsoft-365-Tenants automatisch vergibt. Als Tenant-Name wählen die Täter Begriffe aus dem Helpdesk- und Support-Umfeld, um als IT-Infrastruktur durchzugehen, etwa:

  • helpdeskteam365.onmicrosoft[.]com
  • itendpoint365.onmicrosoft[.]com
  • itcoreportal.onmicrosoft[.]com
  • itadmin922.onmicrosoft[.]com
  • corporateitservicellc.onmicrosoft[.]com

„Wir haben zudem eine jüngste Verschiebung hin zu kostenpflichtigen Top-Level-Domains für die Tenant-Erstellung beobachtet", so Arctic Wolf. Von den in den vergangenen Monaten identifizierten kostenpflichtigen Domains entfielen rund 50 Prozent der gefälschten Identitäten auf die TLD .top, etwa 40 Prozent auf gewöhnliche .com-Domains und gut fünf Prozent auf mehrstufige Domains wie .com.pl, .com.vn und .com.br.

Die Aktivität deckt sich mit der von STAC4749, die in der Vergangenheit IT-bezogene Cloud-Domains unter der TLD „.top" angelegt und plausible Mitarbeiter-Benutzernamen verwendet hat, um die Konten authentisch wirken zu lassen. Nach Angaben von Sophos führten diese Angriffe zum Einsatz der Chaos-Ransomware.

Den Teams-Sitzungen geht in vielen Fällen ein Mail-Bombing voraus: Das Postfach des Opfers wird binnen kurzer Zeit mit hunderten Newsletter- oder Abo-Bestätigungen geflutet. Das erzeugt eine künstliche Dringlichkeit – kurz darauf meldet sich der vermeintliche IT-Support in Teams und bietet Hilfe bei der Lösung des Problems an. Hinzu kommt ein Vishing-Anteil, mit dem die Opfer dazu gebracht werden, den Angreifern über ein legitimes Werkzeug zur Fernüberwachung und -wartung (RMM) direkten Zugriff zu gewähren. Genannt werden Quick Assist, AnyDesk, ScreenConnect (ConnectWise), TeamViewer, Atera, Zoho Assist, NetSupport und LogMeIn.

Der Fernzugriff dient anschließend der Erkundung der Umgebung, dem Nachladen weiterer Schadsoftware wie der GoGRPC-Backdoor, der seitlichen Bewegung bis zu den Domaincontrollern sowie dem Einsatz zusätzlicher RMM-Werkzeuge wie Level als Rückfalloption. Am Ende stehen das Abziehen sensibler Daten und das Ablegen der Ransomware-Binärdatei.

„In einem Teil der Fälle nutzten die Angreifer Microsofts Notizfunktion", erklärte Arctic Wolf. „Angreifer vermeiden es in der Regel, eine URL direkt in Teams einzufügen, was eine Prüfung durch Safe Links / ZAP auslösen würde, und steuern die Payload stattdessen während der Fernsitzung selbst an. Folglich sind Endpunkt- und Identitätstelemetrie neben der Nachrichtenprüfung wesentliche Überwachungsflächen."

In einem dokumentierten Fall wies der Angreifer den Nutzer an, einen PowerShell-Befehl auszuführen, der eine Datei herunterlädt und anschließend startet. Der Befehl holt einen MSI-Installer aus Microsoft Azure Blob Storage. Beim Ausführen startet der Installer ein PowerShell-Skript, das ein darin eingebettetes Python-Implantat extrahiert und ausführt. Die Backdoor stößt daraufhin eine weitere MSI-Transaktion an, die per LDAP alle Computer- und Benutzerobjekte im Active Directory abfragt und die Informationen an einen externen Server überträgt.

„Der externe Microsoft-Teams-Chat hat sich als wirksamer Erstzugangsvektor etabliert, weil er Vertrauen ausnutzt und nicht eine Softwareschwachstelle", so Arctic Wolf. „Über die untersuchten Aktivitäten hinweg kombinierten die Angreifer E-Mail-Bombing, überzeugende Nachahmung des IT-Supports, neu erstellte Tenants und Domains sowie schnelles Social Engineering, um Opfer von einem scheinbar alltäglichen Chat zu Fernzugriff, Ausführung von Schadcode und in manchen Fällen zu einer umfassenderen Kompromittierung zu bewegen."