Aanvallers doen zich op Microsoft Teams voor als IT-support en krijgen remote control via Quick Assist. Daarna misbruiken ze AD CS-certificaatsjablonen om privileged toegang te krijgen en data weg te kopiëren.
Onderzoekers zien een terugkerend patroon in Microsoft Teams IT-support scams: nep-IT berichten via externe chat, gevolgd door remote access, extra payloads en soms ransomware. Dit artikel legt uit hoe de aanval werkt en wat je direct kunt doen.
Bij phishing met blob URLs wordt de kwaadaardige pagina niet als “losse website” geleverd. Daardoor verdwijnen bekende detectiesignalen en moet je vooral op identiteit, browsergedrag en klikpaden letten.
WordlistLoader en SynkLoader maken misleiding op meerdere plekken mogelijk: ClickFix-achtige CAPTCHA-trucs leveren WordlistLoader, terwijl SynkLoader via Microsoft Teams een nep-lockscreen gebruikt om wachtwoorden te stelen.
Onderzoekers ontdekten TWINLOOT: een Python-implant die via SharePoint Online en Microsoft Teams credentials steelt en zich door het netwerk kan verplaatsen. De aanvallen lopen via Microsoft Graph, TURN-relays en een headless Edge-browsertransport.
Aanvallers gebruiken Microsoft Teams Phising om medewerkers te overtuigen remote support te starten. In 2026 leidde dit tot Chaos ransomware, in sommige gevallen binnen 17 uur.
