Vorsicht bei Microsoft Teams: Als Support getarnte Hacker installieren Malware

Eine neu identifizierte Bedrohungsgruppe nutzt Microsoft Teams, um sich als IT-Helpdesk auszugeben, Unternehmenspostfächer mit Spam zu überfluten und anschließend eine maßgeschneiderte Malware-Suite in Firmennetzwerken zu installieren. Die Google Threat Intelligence Group und Mandiant haben die Kampagne offengelegt und sie einer Gruppe zugeordnet, die sie unter dem Namen UNC6692 verfolgen.

So verschafft sich UNC6692 Zugang 

Laut Bericht beginnt der Angriff mit einer massiven E-Mail-Bombardierung des Zielunternehmens, um ein Gefühl von Dringlichkeit zu erzeugen. Anschließend kontaktiert ein Angreifer das Opfer über Microsoft Teams von einem externen Konto aus, gibt sich als IT-Support aus und bietet Hilfe beim Spam-Problem an.

Weitere Recherchen zeigen, dass Mitarbeiter, die die Chat-Anfrage akzeptieren, einen Phishing-Link erhalten. Dieser führt auf eine täuschend echt wirkende Seite namens „Mailbox Repair and Sync Utility v2.1.5“.

Ein gefälschter „Health Check“-Button auf dieser Seite greift die Zugangsdaten des Postfachs ab und überträgt sie direkt in einen vom Angreifer kontrollierten Amazon S3-Bucket. Laut Mandiant wird im Hintergrund zudem unbemerkt ein AutoHotKey-Skript heruntergeladen, das mit der Installation des Malware-Toolkits beginnt.

Was SNOW tatsächlich macht

Das Toolkit besteht laut Bericht aus drei Komponenten:
SNOWBELT ist eine bösartige Chromium-Browsererweiterung, die sich als „MS Heartbeat“ oder „System Heartbeat“ tarnt und als primäre Hintertür dient.

SNOWGLAZE ist ein auf Python basierender Tunnel-Mechanismus, der den Datenverkehr über den Rechner des Opfers via WebSocket an den Command-and-Control-Server der Angreifer weiterleitet. Die Daten werden in Base64-kodiertes JSON verpackt, um wie normaler verschlüsselter Webverkehr zu wirken.

SNOWBASIN fungiert als persistente Hintertür und ermöglicht Remote-Befehle, Screenshots sowie Zugriff auf Dateien. Zusammengenommen verschaffen diese Komponenten laut Mandiant einen unauffälligen und dauerhaften Zugriff, der sich in gewöhnliche Browser- und Netzwerkaktivitäten einfügt.

Wie der Angriff weitergeht 

Nach dem ersten Zugriff scannt die Gruppe das lokale Netzwerk nach offenen Ports und bewegt sich mithilfe von Pass-the-Hash-Angriffen mit gestohlenen NTLM-Hashes in Richtung Domain-Controller.

Mandiant zufolge extrahieren die Angreifer den Speicher des LSASS-Prozesses von einem Backup-Server und exfiltrieren ihn über LimeWire, um Anmeldedaten offline auszuwerten.

Sobald sie Zugriff auf einen Domain-Controller haben, nutzen sie FTK Imager, um die Active-Directory-Datenbank sowie die Registry-Hives (SAM und SYSTEM) zu kopieren und ebenfalls über LimeWire abzuziehen. Zusätzlich fertigen sie Screenshots des Domain-Controllers an.

Sicherheits-Hinweis

Der Bericht weist darauf hin, dass Microsoft Teams eine Warnung anzeigt, wenn Nachrichten von externen Absendern stammen. Unaufgeforderte Support-Anfragen sollten grundsätzlich über bekannte interne Kanäle überprüft werden, bevor Zugriff gewährt wird.