Angreifer missbrauchen Microsoft Teams Vishing, um Mitarbeitende in Nordamerika unter Druck zu setzen und ihnen einen schnellen Remotezugriff zu entlocken. Laut einem Bericht von Sophos führte diese Masche in mehreren Vorfällen direkt oder indirekt zur Ausbreitung von Chaos-Ransomware in Unternehmensumgebungen.
Der Angriff beginnt nicht mit einem klassischen Phishing-E-Mailversand, sondern mit Anrufen und Chats in Microsoft Teams. Sobald die Ziele die geforderte Fernwartung starten, nutzen die Täter den Zugang, um Systemkomponenten zu manipulieren und schließlich Dateien zu verschlüsseln.
Was Sophos bei Microsoft Teams Vishing beobachtete
Die Kampagne, die Sophos als STAC4749 verfolgt, richtete sich im Zeitraum von Februar bis Juni 2026 gegen Dutzende Organisationen. Besonders betroffen waren laut den Angaben vor allem Kanada (etwa 50%) und die USA (etwa 45%).
Die Angriffe verteilten sich außerdem über viele Branchen. Am häufigsten wurden Versorger, das verarbeitende Gewerbe, Energie sowie Bau- und Ingenieurwesen genannt.
Wichtig: In mindestens drei bestätigten Eindringen kam es zur Ausführung von Chaos-Ransomware. In einem Fall ging der Zeitraum vom ersten Zugriff bis zur Verschlüsselung der Dateien in weniger als 17 Stunden über die Bühne.
So tarnen sich Angreifer als IT-Support in Teams
Statt zufällig ausgewählten Opfern kontaktierten die Täter gezielt Mitarbeiter über Teams. Der Ausgangspunkt waren externe Microsoft-Teams-Konten, die sich als IT-Helpdesk oder Support-Mitarbeitende ausgaben. In Chats und über Telefonie in Teams wurden die Angesprochenen überzeugt, eine Fernwartung zu starten.
Die beobachteten Anrufe dauerten laut Sophos von rund 90 Sekunden bis über 20 Minuten. In den meisten Fällen wurden sie jedoch relativ zügig abgeschlossen – häufig zwischen zwei und zweieinhalb Minuten.
Neue Tricks bei der Domain-Auswahl
In früheren Teams-Social-Engineering-Angriffen setzten Angreifer oft auf selbst erstellte Tenants in Microsofts onmicrosoft.com-Umgebungen, um die Kommunikation anzustoßen. STAC4749 weicht davon ab: Die Täter nutzten IT-nahe Domains unter der Top-Level-Domain .top.
Beispiele, die Sophos nennt, sind unter anderem sequrityupdate[.]top, scan-security[.]top, system-connect[.]top, corp-connect[.]top und supportsoft[.]top.
Namenswahl und passendes Branding
Zu den Domains passten die Angreifer scheinbar konsistent wirkende Identitäten. Sophos nennt Namen wie Anthony Brooks, Dylan Harper, Ethan Parker und Jason Mitchell. Diese Bezeichnungen wirkten als Teil eines abgestimmten Auftritts, inklusive domänenbezogener Zuordnung zu den Aliasen.
Remotezugriff: Quick Assist zuerst, später andere Tools
Das Ziel der Anrufe war klar: Mitarbeitende sollten eine Remote-Support-Session starten. Dafür wurden typischerweise Tools wie Microsoft Quick Assist verwendet oder alternativ weitere Remote Monitoring and Management-Lösungen installiert.
Zu Beginn bevorzugten die Angreifer offenbar Quick Assist. Wenn Quick Assist nicht verfügbar war oder blockiert wurde, griffen sie laut Sophos auch auf eine cloudbasierte Fernwartungslösung namens RemSupp zurück.
Im Verlauf änderte sich das Vorgehen: Ab April nutzten die Täter zunehmend RemSupp als Hauptweg. Sophos vermutet als Grund, dass RemSupp weniger wahrscheinlich in Unternehmens-Blocklisten auftaucht.
Was nach dem Zugriff im Hintergrund passiert
Nachdem Angreifer die Kontrolle über Geräte erlangt hatten, setzten sie PowerShell ein, um einen Backdoor herunterzuladen. Dieser wurde in der Ordnerstruktur %AppData% des betroffenen Nutzers abgelegt.
Die Schadsoftware erstellte Profile über das System, richtete Persistenz ein und stellte den fortgesetzten Remotezugriff sicher. Damit nicht sofort auffällt, dass Registry-Einträge manipuliert wurden, wurden Mechanismen als legitime Komponenten getarnt.
Legitime Namen für Persistence
Die Registry-Einträge wurden so gestaltet, dass sie nach Realtek– oder Windows-Audio-Komponenten wirkten. Genannt werden beispielsweise Bezeichnungen wie “Realtek HD Audio”, “Realtek Audio UHD” und “WinAudio life2”.
Zusätzlich zu diesen Maßnahmen installierten die Angreifer in späteren Vorfällen weitere Software für den Fernzugriff, um Systeme im Netzwerk dauerhaft zu erreichen. Dazu zählten laut Bericht DWAgent oder AnyDesk.
Außerdem versuchten die Täter, Remote Desktop Protocol (RDP) auf den kompromittierten Geräten zu aktivieren. Das unterstützt typischerweise die laterale Bewegung innerhalb des Netzwerks.
Angriffskette im laufenden Betrieb angepasst
Ein weiterer Punkt, der für Teams-Vishing besonders relevant ist: Die Angreifer passten ihre Vorgehensweise fortlaufend an. Sophos beschreibt, dass zwischen Februar und Mai Teile der Angriffskette verändert wurden.
Dazu gehörten Änderungen an Dateinamen, Persistenzmechanismen und der Art der Ausbringung. Das soll helfen, Erkennung durch Sicherheitskontrollen zu umgehen.
Von Microsoft Teams Vishing zu Chaos-Ransomware
In mehreren Fällen endete der Ablauf nicht nur bei einem dauerhaften Remotezugriff. Mindestens drei STAC4749-Compromises führten zu Chaos-Ransomware. In mindestens einem Szenario gibt Sophos Hinweise darauf, dass die Täter zuvor möglicherweise Daten stahlen.
Bei der Ausführung verschlüsselte die Ransomware die Dateien gleichzeitig auf den kompromittierten Systemen. Auf den betroffenen Geräten wurden Lösegeldhinweise abgelegt, und zwar als readme.chaos.txt.
Die Hinweise, die BleepingComputer im Kontext von Chaos-Ransomware gesehen hat, enthalten laut Bericht denselben Text: Er stellt in Aussicht, dass Daten entwendet wurden, und warnt, dass diese geleakt würden, falls kein Lösegeld gezahlt wird.
Besonders alarmierend ist die Geschwindigkeit. In einem beobachteten Fall lagen zwischen dem ersten Kontakt über Microsoft Teams und der Ausführung der Verschlüsselung weniger als 17 Stunden.
Sophos bewertet daher, dass es sich mit hoher Wahrscheinlichkeit um eine finanziell motivierte Operation handelt, die entweder direkt Ransomware ausgerollt oder mit Partnern koordiniert hat.
Warum Microsoft Teams als Angriffskanal so attraktiv ist
Ransomware-Gruppen und andere Akteure nutzen zunehmend Microsoft Teams, um sich als interne Support-Mitarbeiter auszugeben. Das senkt für Mitarbeitende die Hürde, eine Fernwartung zu akzeptieren, weil der Kontakt im Arbeitsalltag wirkt.
Auch andere Vorfälle zeigen das Muster: Im Oktober 2024 wurden laut Bericht Black Basta Affiliates beobachtet, die zuerst E-Mails ohne vorherige Anfrage an Beschäftigte sendeten und anschließend über Teams mit externen Absendern nachfassten. Bei jüngeren Angriffen, die auf eine iranische Kampagne namens MuddyWater zurückgeführt werden, soll Microsoft Teams ebenfalls eine Rolle gespielt haben – dort sogar mit Chaos-Ransomware als Tarnmechanismus.
Für STAC4749 nennt Sophos allerdings keine Belege für eine Verbindung zu MuddyWater.
So können Unternehmen sich besser wappnen
Ein wesentlicher Hebel liegt in der Erkennung von erfolgreichen Angriffsschritten. Sophos weist darauf hin, dass Sicherheitsteams einen Großteil erfolgreicher Angriffe zwar protokollieren, aber ein deutlich kleinerer Anteil tatsächlich Alarmmeldungen auslöst. Der Rest verläuft offenbar unbemerkt durch die Umgebung.
Praktisch heißt das: Unternehmen sollten nicht nur Tools bereitstellen, sondern auch die relevanten Regeln und Prozesse im Sicherheits-Stack so testen, dass Social-Engineering- und Post-Exploitation-Schritte sichtbar werden. Dazu gehören unter anderem Kontrollen rund um:
- Remote-Support-Freigaben (z. B. Quick Assist) und deren erwartete Abläufe
- Out-of-the-ordinary Remote-Tool-Nutzung wie RemSupp, AnyDesk oder DWAgent
- PowerShell-Aktivitäten und verdächtige Dateiplatzierungen in Nutzerordnern wie %AppData%
- Persistenzmechanismen, die sich als legitime Komponenten tarnen
- Versuche, RDP zu aktivieren oder zusätzliche Fernzugriffswege einzurichten
Teams-Vishing betrifft häufig die Schnittstelle zwischen Menschen und Technik. Wenn Mitarbeitende die Warnsignale nicht kennen oder wenn Freigaben zu leicht durchgehen, wächst das Risiko massiv.
Fazit: Geschwindigkeit bei Chaos-Ransomware erhöhen das Risiko
Microsoft Teams Vishing ist ein ernstes Szenario, weil es auf Vertrauen, zeitnahe Handlungsfähigkeit und typische Support-Workflows setzt. In der STAC4749-Kampagne führte dieser Ansatz in mehreren Fällen zu Chaos-Ransomware – teils extrem schnell, innerhalb von weniger als 17 Stunden.
Für Unternehmen bedeutet das: Remotezugriff strenger steuern, Team-Kommunikation auf Unstimmigkeiten prüfen und Erkennungsmechanismen regelmäßig so validieren, dass Angreifer nicht „durchrutschen“, nur weil einzelne Schritte keine lauten Alarme auslösen.
