In einem aktuellen Bericht beschreibt Microsoft eine neunstufige Angriffskette. Sie beginnt damit, dass der Angreifer das Ziel über einen externen Teams-Chat kontaktiert und sich als Angehöriger der unternehmenseigenen IT ausgibt. Als Vorwand dient etwa ein angebliches Kontoproblem oder ein notwendiges Sicherheitsupdate. Ziel ist es, das Opfer zum Start einer Fernwartungssitzung zu bewegen – meist über Quick Assist –, wodurch der Täter die direkte Kontrolle über den Rechner des Mitarbeiters erhält.
Anschließend führt der Angreifer eine schnelle Erkundung über die Eingabeaufforderung und PowerShell durch und prüft Berechtigungen, Domänenzugehörigkeit und Netzwerkerreichbarkeit, um das Potenzial für eine seitliche Bewegung im Netzwerk einzuschätzen. Danach legt er ein kleines Paket mit Schadcode an Orten ab, in die Nutzer schreiben dürfen, etwa ProgramData, und bringt den Code über eine vertrauenswürdige, signierte Anwendung zur Ausführung – beispielsweise Autodesk, Adobe Acrobat/Reader, Windows Error Reporting oder Software zur Verhinderung von Datenverlust – mittels DLL-Sideloading.
Die so aufgebaute, HTTPS-gestützte Kommunikation zum Command-and-Control-Server (C2) geht im normalen ausgehenden Datenverkehr unter, was die Erkennung erschwert. Nachdem die Infektion etabliert und die Persistenz über Änderungen an der Windows-Registry gesichert ist, missbraucht der Angreifer Windows Remote Management (WinRM), um sich seitlich durch das Netzwerk zu bewegen. Im Visier stehen dabei in die Domäne eingebundene Systeme und hochwertige Ziele wie Domänencontroller.
Auf erreichbaren Systemen installieren die Täter zusätzliche Fernwartungswerkzeuge und nutzen Rclone oder vergleichbare Programme, um sensible Daten zu sammeln und zu externen Cloud-Speicherpunkten abzuziehen. Microsoft betont, dass dieser Schritt gezielt erfolgt: Filter sorgen dafür, dass nur wertvolle Informationen erfasst werden, was das Übertragungsvolumen reduziert und die Aktivität unauffälliger macht.
Microsoft rät Nutzern, externe Teams-Kontakte grundsätzlich als nicht vertrauenswürdig zu behandeln. Administratoren sollten Fernwartungswerkzeuge einschränken oder genau überwachen und die Nutzung von WinRM auf kontrollierte Systeme begrenzen. Zudem verweist das Unternehmen auf die Sicherheitswarnungen in Teams, die Mitteilungen von Personen außerhalb der Organisation sowie mögliche Phishing-Versuche ausdrücklich kennzeichnen.