--- title: Betrüger nutzen Microsoft Teams für IT-Support-Betrug und Malware-Verteilung url: https://www.dataloco.com/de/betruger-nutzen-microsoft-teams-fur-it-support-betrug-und-malware-verteilung published: 2026-10-29T12:21:16+00:00 language: de section: Sicherheit source: https://thehackernews.com/2026/10/attackers-use-microsoft-teams-it.html organizations: Microsoft, Arctic Wolf, Sophos, STAC4749 publisher: Dataloco --- # Betrüger nutzen Microsoft Teams für IT-Support-Betrug und Malware-Verteilung Cybersecurity-Forscher warnen vor einem wiederkehrenden Muster, bei dem Angreifer die Funktion zur Erstellung externer Chats in Microsoft Teams ausnutzen, um Identitäten zu fälschen und Schadsoftware zu verteilen. Diese Vorfälle betreffen Hunderte von Fällen, in denen Bedrohungsakteure gezielt Organisationen angreifen, bei denen der externe Zugriff aktiviert ist. Die Angreifer verwenden dabei konsequent dieselben Wegwerf-Mieter, dieselbe Anzeigename wie „IT-Support (intern)“ oder freundliche Vornamen, dieselben Remote-Zugriffstools und zunehmend dieselbe Domains für die Nutzlasten. Diese Taktik dient dazu, die Warnungen für externe Benutzer in Teams zu umgehen und ein Gefühl der Dringlichkeit zu erzeugen. In den letzten Iterationen fügen die Angreifer die Domain oder den Firmennamen des Ziels in den Anzeigenamen ein, um den Nachrichten zusätzliche Legitimität zu verleihen. Etwa 30 bis 40 der von der Cybersecurity-Firma ermittelten Fälle beinhalten die Nutzung der Domain *.onmicrosoft[.]com, eine permanente Fallback-Domain, die von Microsoft automatisch erstellt wird. Diese Domains geben sich als IT-Infrastruktur aus, wobei der Name des Mieters oft einen Helpdesk- oder Support-Bezug hat, um die Glaubwürdigkeit zu erhöhen. In jüngerer Zeit verlagern sich die Angreifer jedoch hin zu kostenpflichtigen Top-Level-Domains. Von den identifizierten kostenpflichtigen Domains nutzten etwa 50 Prozent der gefälschten Identitäten die Endung .top, rund 40 Prozent eine Standard-.com-Domain und knapp über fünf Prozent Mehrstufen-Domains wie .com.pl.com.vn oder .com.br. Die Aktivität steht im Einklang mit der des Akteurs STAC4749, der eine Historie im Erstellen von IT-bezogenen Cloud-Domains unter der Endung .top aufweist und plausible Benutzernamen verwendet, um die Konten authentisch erscheinen zu lassen. Diese Angriffe führten laut Sophos zur Verteilung von Chaos-Ransomware. Die Angriffe zielen spezifisch auf Organisationen ab, bei denen der externe Zugriff ermöglicht ist, und beinhalten einen Aspekt des Vishing, um die Opfer dazu zu bringen, den Zugriff auf die Tastatur über ein legitimes Remote-Monitoring- und -Management-Tool zu gewähren. Zu den genutzten Tools zählen Quick Assist, AnyDesk, ScreenConnect, TeamViewer, Atera, Zoho Assist, NetSupport und LogMeIn. Der Remote-Zugriff wird missbraucht, um Aufklärung zu betreiben, zusätzliche Nutzlasten wie den GoGRPC-Backdoor zu liefern, seitliche Bewegung zu Domain-Controllern zu ermöglichen und zusätzliche RMM-Tools wie Level für Redundanz zu installieren, bevor sensible Daten exfiltriert und die Ransomware-Binärdatei abgelegt wird. In einem Teil der Fälle nutzten die Angreifer die Notizfunktion von Microsoft. Sie vermeiden es in der Regel, eine URL direkt in Teams einzufügen, da dies die Scans durch Safe Links und ZAP auslösen würde, und navigieren stattdessen während der Remote-Sitzung selbst zur Nutzlast. In einem identifizierten Fall wies der Bedrohungsakteur den Benutzer an, einen PowerShell-Befehl auszuführen, um eine Datei herunterzuladen und zu starten. Dieser Befehl ist darauf ausgelegt, einen MSI-Installer von Microsoft Azure Blob Storage herunterzuladen. Wenn das Opfer den Installer ausführt, startet er ein PowerShell-Skript, das eine darin eingebettete Python-Implantation extrahiert und ausführt. Der Backdoor führt dann eine weitere MSI-Transaktion aus, die LDAP-Abfragen an Active Directory für alle Computer- und Benutzerobjekte sendet und die Informationen an einen externen Server übermittelt. Laut Arctic Wolf ist der externe Microsoft Teams-Chat zu einem wirksamen Vektoren für den initialen Zugriff geworden, da er Vertrauen ausnutzt und nicht eine Software-Schwachstelle. Die Angreifer kombinierten E-Mail-Bombardierung, überzeugende IT-Support-Identitätsfälschung, neu erstellte Mieter und Domains sowie schnelle Social Engineering, um Opfer von einem scheinbar routinemäßigen Chat zu Remote-Zugriff, Ausführung der Nutzlast und in einigen Fällen zu einer breiteren Kompromittierung zu führen. ## This story in other languages - [中文](https://www.dataloco.com/zh/microsoft-teams-it) - [हिन्दी](https://www.dataloco.com/hi/hamalvara-malvayara-oura-ranasamavayara-falna-ka-le-microsoft-teams-aaiita-sahayata-ghatal-ka-upayaga-kara-raha-ha) - [Türkçe](https://www.dataloco.com/tr/saldirganlar-kotu-amacli-yazilim-dagitmak-icin-microsoft-teams-destek-dolandiriciliklarini-kullaniyor) - [Polski](https://www.dataloco.com/pl/atakujacy-wykorzystuja-oszustwa-wsparcia-technicznego-w-microsoft-teams-do-wdrazania-zlosliwego-oprogramowania) - [Indonesia](https://www.dataloco.com/id/penyerang-gunakan-penipuan-dukungan-ti-microsoft-teams-untuk-menyebarkan-perangkat-lunak-berbahaya-dan-ransomware) - [ไทย](https://www.dataloco.com/th/microsoft-teams) - [Nederlands](https://www.dataloco.com/nl/aanvallers-gebruiken-microsoft-teams-it-ondersteuningsfraude-voor-malware-en-ransomware) - [العربية](https://www.dataloco.com/ar/mhagmon-ystkhdmon-aamlyat-ahtyal-aabr-daam-tkny-almaalomat-fy-microsoft-teams-lnshr-brmgyat-khbyth-ofdy) - [Español](https://www.dataloco.com/es/atacantes-utilizan-estafas-de-soporte-tecnico-en-microsoft-teams-para-desplegar-malware-y-ransomware) - [Italiano](https://www.dataloco.com/it/attaccanti-utilizzano-truffe-di-supporto-informatico-su-microsoft-teams-per-distribuire-malware-e-ransomware) - [Русский](https://www.dataloco.com/ru/zloumyslenniki-ispolzuiut-mosennicestvo-s-texpodderzkoi-v-microsoft-teams-dlia-rasprostraneniia-vredonosnogo-po) - [Português (Brasil)](https://www.dataloco.com/pt-br/atacantes-utilizam-golpes-de-suporte-de-ti-no-microsoft-teams-para-implantar-malware-e-ransomware) - [Français](https://www.dataloco.com/fr/des-attaquants-utilisent-des-escroqueries-de-support-informatique-sur-microsoft-teams-pour-deployer-des-logiciels-malveillants) - [Svenska](https://www.dataloco.com/sv/angripare-anvander-bedragerier-via-microsoft-teams-it-support-for-att-sprida-skadlig-kod-och-utpressningsprogram) - [עברית](https://www.dataloco.com/he/microsoft-teams)