Mobile-Menu

Microsoft warnt vor massiven Social-Engineering-Angriffen Hackerangriffe auf Microsoft Teams

Von Thomas Joos 4 min Lesedauer

Microsoft warnt aktuell vor sehr aggressiven Angriffen auf Microsoft Teams. Cyberkriminelle und russische Hacker versuchen an Anmeldedaten von Teams-Benutzern zu kommen. Verantwortliche sollten die Anwender vorbereiten und die Teams-Umgebung schützen.

Mehrere Hacker-Gruppen greifen KMU und Behörden über Microsoft Teams an: MFA schützt nicht!(Bild: sasun Bughdaryan - stock.adobe.com)
Mehrere Hacker-Gruppen greifen KMU und Behörden über Microsoft Teams an: MFA schützt nicht!
(Bild: sasun Bughdaryan - stock.adobe.com)

Bereits seit Anfang August hat das Microsoft Threat Intelligence-Team sehr gezielte Social Engineering-Angriffe auf Microsoft Teams festgestellt. Die Angriffe laufen zum Teil aber seit Mai 2023. Microsoft-Kunden, die bereits als Ziel erkannt wurden, haben von Microsoft bereits eine Warnung erhalten, aber auch alle anderen Microsoft 365-Abonnenten sollten sich mit dem Thema intensiv auseinandersetzen. Im Juni 2023 haben Sicherheitsforscher von Jumpsec bereits eine Sicherheitslücke in Teams identifiziert, über die Angreifer an Anmeldedaten von Benutzern kommen können.

Phishing auf KMU ist die Quelle der Angriffe

Bei den Angriffen versuchen Cyberkriminelle unter anderem über Phishing an Anmeldedaten von Benutzern zu kommen. Diese ermöglichen den Angreifern das Anmelden an lokalen Umgebungen oder an Microsoft 365-Ressourcen und damit auch das Übertragen von Ransomware sowie das Stehlen von Daten. Es ist daher dringend anzuraten, die Benutzer von Microsoft Teams auf diese aggressiven Attacken vorzubereiten.

Besonders gefährlich an den aktuellen Angriffen ist, dass diese auch von erfahrenen und geschulten Anwendern kaum erkannt werden können. Es schadet daher nicht in jedem Fall sehr viel Misstrauen zu entwickeln, wenn ein Benutzer Zugangsdaten erhalten möchte, oder wenn MFA-Anfragen eingehen, für die es keine Erklärung gibt.

In der ersten Angriffswelle, die parallel noch immer abläuft, versuchen die Angreifer kleine Unternehmen (KMU) anzugreifen, um deren Abonnement zu kompromittieren. Über das kompromittierte Abonnement werden dann weitere Angriffe auf größere Unternehmen gestartet. KMU sind daher auch in diesem Fall im Fokus von hochprofessionellen Angreifern und sollten sich daher besonders schützen.

Bildergalerie
Bildergalerie mit 5 Bildern

MFA ist kein Allheilmittel bei Cyberattacken

Auch MFA schützt nicht vor massiven Phishing-Attacken. Haben Angreifer die Anmelde-E-Mail-Adresse und im schlimmsten Fall auch Kennwörter, senden diese immer wieder MFA-Anfragen, bis Anwender diese irgendwann bestätigen. Dieses Phänomen trägt die Bezeichnung MFA-Fatigue, da viele Anwender bei einer entsprechenden Anzahl an MFA-Anfragen diese einfach bestätigen. Beim MFA-Bombing sind viele Anwender irgendwann einfach überfordert und bestätigen die Anfragen. Ohne MFA sind Angriffe natürlich noch leichter. Microsoft empfiehlt, dass alle MFA-Anfragen zu Authenticator-Apps oder SMS-Anfragen solange als böswillig zu betrachten, bis klar ist, dass diese direkt vom jeweiligen Benutzer stammen. Ein gewisses Misstrauen gegenüber MFA-Anfragen ist daher angebracht.

So laufen die aktuellen Angriffe auf Microsoft Teams ab

Bei den aktuellen Angriffen versuchen die Kriminellen über den Chat in Microsoft Teams an Zugangsdaten von Anwender zu gelangen. Das klappt über KI-Technologien mittlerweile auch über Videoanrufe und -Konferenzen, da sich Stimmen und auch Videoübertragung sehr einfach fälschen lassen. Die aktuellen Angriffe werden unter anderem von der Hackergruppe Midnight Blizzard, zuvor als NOBELIUM bekannt, durchgeführt.

Parallel dazu agieren auch andere russische Hacker der Gruppe APT29 auf ähnlichem Weg. Hier konzentrieren sich die Attacken vor allem auf Behörden. Weitere, ähnliche Attacken kommen von UNC2452 und Cozy Bear. Teilweise handelt es sich dabei um die gleichen Akteure, die unter verschiedenen Namen aktiv sind. Die Angreifer nutzen für Phishing-E-Mails zum Teil auch Adressen der Domäne "onmicrosoft.com", die von vielen Anwendern als vertrauenswürdig eingestuft wird. Neben Domänen von gekaperten Abonnements von KMU, nutzen die Angreifer oft folgende und ähnliche Domänen:

  • msftprotection.onmicrosoft[.]com
  • identityVerification.onmicrosoft[.]com
  • accountsVerification.onmicrosoft[.]com
  • azuresecuritycenter.onmicrosoft[.]com
  • teamsprotection.onmicrosoft[.]com

Microsoft sperrt aktuell die Unterdomänen, die für diese Angriffe zum Einsatz kommen, allerdings lassen sich neue Testkonten in wenigen Minuten sogar kostenfrei erstellen. Kunden sollten sich daher nicht nur auf Microsoft verlassen. Parallel zu den aktuellen Angriffen auf Microsoft Teams versuchen die verschiedenen Angreifer auch mit FOGGYWEB und MAGICWEB auf nachgelagerte Authentifizierungsdienste zuzugreifen, zum Beispiel auf Active Directory Federation Services (ADFS).

Bildergalerie
Bildergalerie mit 5 Bildern

Angreifer richten Subdomänen ein und fügen eigene Geräte zu Azure AD/Entra ID hinzu

Sobald ein Microsoft 365-Abonnement übernommen wurde, legen die Angreifer eine neue Subdomäne an, die den Eindruck erweckt seriös zu sein. Dabei kommen Sicherheitsbegriffe oder Produktnamen zum Einsatz. Im Anschluss starten von diesen Adressen aus sehr aggressive Spear-Phishing-Attacken und andere Angriffe.

Dabei schreiben die Angreifer über den Microsoft Teams-Chat eine Nachricht an das potenzielle Opfer und fordert auch zur Bestätigung von MFA-Anfragen auf. Gelingen die Angriffe, versuchen die Kriminellen zum Teil auch eigene Arbeitsstationen zu Azure AD/Entra ID hinzuzufügen. Dadurch umgehen die Angreifer Richtlinien, die außenstehende Anmeldungen sperren.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

So sollten Unternehmen reagieren

Auch ohne diese Angriffe sollten Unternehmen ihre Mitarbeiter im Umgang mit Phishing-E-Mails schulen und zusätzliche Lösungen implementieren, die vor Phishing-Angriffen schützen. Bei Microsoft 365 kann dazu zum Beispiel Azure AD/Entra ID Identity Protection zum Einsatz kommen. Allerdings benennen die Angreifer die Benutzer für ihre Angreifer auch nach "Microsoft Identity Protection", sodass viele Anwender schnell darauf hereinfallen. Generell sollten Benutzer so geschult werden, dass sie externe Chats nur in absoluten Ausnahmen annehmen und nur dann, wenn sie das Gegenüber genau kennen.

MFA bietet gegenüber diesen Angriffen keinen weitreichenden Schutz, aber deutlich mehr als ohne MFA möglich ist. In Microsoft Teams sollte festgelegt werden, von welchen Microsoft 365-Organisationen Chats empfangen werden dürfen. Das geht im Teams Admin Center bei "Benutzer -> Externer Zugriff".

Das bietet ebenfalls keine vollständige Sicherheit, sorgt aber für einen weiteren Schritt in mehr Sicherheit. Der Zugriff von externen Konten auf die eigene Umgebung sollte so restriktiv wie nur möglich gehandhabt werden.

(ID:49673378)

Weiterführende Inhalte