Auf den Punkt: Eine Vishing-Kampagne nutzt Microsoft Teams zur Fernzugriffs-Erpressung und führt in mindestens drei Fällen zur Chaos-Ransomware-Verschlüsselung innerhalb von unter 17 Stunden.
Angreifer geben sich über externe Microsoft-Teams-Konten als IT-Support aus und verschaffen sich so Fernzugriff auf Unternehmensgeräte. Sophos dokumentiert eine Kampagne (STAC4749) zwischen Februar und Juni 2026 mit mindestens drei Fällen, in denen der Zugriff zum Einsatz der Ransomware Chaos führte.
Sophos verfolgt die Kampagne unter der Bezeichnung STAC4749 und beobachtete zwischen Februar und Juni 2026 Angriffe auf Dutzende nordamerikanische Organisationen. Rund 95 Prozent der Angriffe richteten sich gegen Unternehmen in Kanada und den USA, betroffen waren Dienstleistungsunternehmen sowie Organisationen aus der Fertigungs-, Energie- und Bau- und Ingenieurbranche. Die Angreifer nutzen externe Microsoft-Teams-Konten, um sich in Chats und Anrufen als Mitarbeiter eines IT-Helpdesk auszugeben. Die beobachteten Anrufe dauerten zwischen 90 Sekunden und mehr als 20 Minuten, die meisten endeten jedoch nach etwa zwei bis zweieinhalb Minuten.
Die Angreifer registrierten eigene Domains mit der Endung .top und verwendeten erfundene Namen vermeintlicher Support-Mitarbeiter – beispielsweise sequrityupdate.top oder system-connect.top. Ziel der Anrufe war es, Beschäftigte zur Initiierung einer Fernwartungssitzung über Microsoft Quick Assist oder ein anderes Fernwartungswerkzeug zu bewegen. Bis April 2026 bevorzugten die Angreifer Quick Assist, wechselten dann jedoch verstärkt zum Cloud-Tool RemSupp, vermutlich weil dieses seltener von Unternehmens-Blocklisten erfasst wird.
Nach dem Erlangen von Fernzugriff luden die Angreifer per PowerShell eine Backdoor in das AppData-Verzeichnis des Nutzers, die das System analysierte und dauerhaften Fernzugriff sicherte. Die zugehörigen Registry-Einträge wurden als Realtek- oder Windows-Audiokomponenten getarnt. In Fällen, die zu Ransomware-Einsatz führten, installierten die Angreifer zusätzlich Werkzeuge wie DWAgent oder AnyDesk als Backup-Zugang und versuchten, Remote-Desktop-Zugriff zu aktivieren, um sich lateral im Netzwerk zu bewegen.
Mindestens drei dokumentierte Kompromittierungen mündeten in den Einsatz der Ransomware Chaos ein, in mindestens einem Fall nach vorherigem Datendiebstahl. Die Verschlüsselung erfolgte auf allen kompromittierten Geräten nahezu gleichzeitig, begleitet von Lösegeldforderungen in Dateien mit dem Namen readme.chaos.txt. In einem beobachteten Fall vergingen zwischen dem ersten Teams-Kontakt und der vollständigen Verschlüsselung weniger als 17 Stunden. Die Chaos-Gruppe wird der Ransomware-as-a-Service-Kategorie zugeordnet und besteht nach Sophos-Angaben seit Februar 2025. Sie wird ehemaligen Mitgliedern der Ransomware-Gruppen BlackSuit und Royal zugeschrieben, die ihrerseits aus dem Conti-Umfeld hervorgingen.
Quelle: www.it-daily.net · Erschienen 31. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.