Teams im Look: die neue Welle von Angriffen, die Social Engineering und Cloud zu exfilter Daten verschmelzen

Ein neuer, als UNC6692 identifizierter Drohungsakteur hat einen besorgniserregenden Trend gezeigt: Konvergenz der Sozialtechnik durch kollaborative Plattformen und systematischer Missbrauch von Cloud-Diensten, um Malware- und Exfilter-Daten zu verbreiten. Anstatt auf traditionelle schädliche E-Mails beschränkt zu sein, kombinieren Angreifer "E-Mail-Pumping"-Kampagnen mit Microsoft Teams Einladungen supplantieren die interne Unterstützung, um das Vertrauen des Opfers zu gewinnen und ihn zu bitten, auszuführen, was scheint eine legitime Lösung zu sein.

Am relevantesten aus der taktischen Sicht ist, dass der Eingabevektor nicht immer komplexe technische Sicherheitslücken erfordert; es stützt sich auf die Dringlichkeit und das Vertrauen von Unternehmen für das Opfer, legitime Tools oder Browsererweiterungen zu installieren, die dann beschädigt sind, um Beharrlichkeit und verschlüsselte Tunnel zu erstellen, um Server zu steuern. Die Verwendung von Teams externen Konten als erster Kontaktpunkt und die Lieferung von Komponenten von Eimern in öffentlichen Cloud-Diensten neigen dazu, traditionelle Reputationsfilter zu umgehen weil der Verkehr von zuverlässigen Domains stammt.

Das bei diesen Intrusionen beobachtete Werkzeugökosystem ist in der Regel modular: JavaScript-Komponenten, die als Gateway fungieren, Erweiterungen, die im Browser aktiv bleiben und tragbare Binaries, die Tunnel erstellen oder Remote-Befehle ausführen. Diese Architektur erleichtert die Erfassung von Anmeldeinformationen auf betrügerischen Seiten, die Bereitstellung von persistenten Hintertüren und die Schaffung von Gateways von innerhalb des Unternehmensnetzes bis hin zur externen Befehls- und Kontrollinfrastruktur.

Die Auswirkungen auf Cyberdefence sind klar: kollaborative Tools wie Microsoft Teams aufhören nur "Kommunikationskanäle" zu sein und Angriffsflächen erster Ordnung zu werden. Die ausschließlich auf Post konzentrierten Schutzmaßnahmen reichen nicht mehr aus; Kontrollen müssen in die Kollaborationsschicht, in die Verwaltung von Erweiterungen und in Richtlinien für den Zugang zu Cloud-Diensten integriert werden.

Aus betrieblicher Sicht erfordert dies eine Überprüfung der technischen Support-Verifikationsströme: die Einrichtung von Identitäts-Authentifizierungskanälen für jede sensible Anfrage, die Notwendigkeit von Off-Band-Kontrollen und die Normierung, dass das Personal keine Werkzeuge betreibt oder Einladungen ohne vorherige Validierung akzeptiert. Besonderer Schutz von hochrangigen und leitenden Konten sollte Priorität haben sowohl für ihre Frequenz als auch für die potenziellen Auswirkungen, wenn sie beeinträchtigt werden.

Im Hinblick auf technische Maßnahmen ist es angezeigt, die Browser-Management-Richtlinien zu verschärfen, um die willkürliche Installation von Erweiterungen zu blockieren und weiße Listen von zugelassenen Zertifikaten und Erweiterungen zu verwenden; die Installation von Fernassistenz-Diensten (Quick Assist, Supreme, etc.) durch Endpoint-Richtlinien und genehmigten Anwendungskatalog zu begrenzen oder zu kontrollieren; und bedingte Zugriffskontrollen anzuwenden, die verwaltete Geräte und Multifactor-Authentifizierung für entfernte Verwaltungsaktionen und Zugriffe erfordern. Microsoft bietet Dokumentation und Kontrollen, um Teams und seine Sicherheit zu verwalten, die überprüft werden sollten: https: / / learn.microsoft.com / microsoftteams /.

In der Erkennung sollten Sicherheitsausrüstungen weniger offensichtliche Indikatoren überwachen: Ausführung von AutoHotkey oder Python-Skripten, die von ungewöhnlichen Standorten, Prozessen, die lokale HTTP-Ports (z.B. 8000-8002), Verwendung von legitimen Tools zum Flip-Speicher (LSASS) oder Übertragung von Dateien, und Bewegungen, die Tunneling WebSocket oder persistente Verbindungen zu S3 Buckets. Die Integration der EDR-Telemetrie mit Kollaboration und Web-Proxy-Aufzeichnungen erleichtert Korrelationen, die heute benötigt werden, um vollständige Angriffsketten zu identifizieren.

Governance ist ebenso kritisch: klare Verfahren für die Meldung von Einladungen und externen Botschaften zu etablieren, Helpdesk-Supplantationsszenarien in Tischübungen und Phishing-Kampagnen für Führungskräfte zu simulieren und sicherzustellen, dass es einen schnellen und geprüften Weg für jemanden vom IT-Team gibt, Vorfälle zu verwenden, ohne auf unsichere Handlungen zurückgreifen zu müssen. Die Kultur der "heißen Hilfe akzeptieren" muss in einen geprüften und nachprüfbaren Prozess umgewandelt werden.

Eine weitere praktische Lektion ist das Risiko von Angreifern, die legitime Infrastruktur nutzen, um ihre Artefakte zu verbergen. Einfach blockieren bösartige Domains wird nicht genug sein, wenn der Schauspieler Payloads und Exfiltrate in öffentlichen Dienstleistungen hostet. Es ist daher angezeigt, verhaltensbasierte Erkennung, Zeichen und Validierung der Integrität kritischer Komponenten durchzuführen und den Zugriff auf Cloud-Ressourcen im Rahmen der Reaktion auf Vorfälle regelmäßig zu prüfen.

Wenn Ihre Organisation dies noch nicht getan hat, wird empfohlen, externe Zugangsrichtlinien auf kollaborativen Plattformen zu überprüfen, MFA und Zugriffsbedingungen auf privilegierte Konten zu zwingen, weiße Listen von Anwendungen und Erweiterungen anzuwenden, Anmeldeschutz auf Endpunkten zu ermöglichen und Alarme für anomale Aktivitäten in Executive-Konten einzurichten. Sicherheitsanbieter empfehlen auch, Einladungen und Support-Anfragen von externen Kanälen mit der gleichen Härte wie verdächtige E-Mails zu behandeln: Validierung und gegebenenfalls vorbeugende Blockierung.

Für diejenigen, die Maßnahmen und ähnliche Fälle vertiefen wollen, ist es angebracht, Vorfallanalysen und Antwortführer von Bedrohungsspezialisten und Herstellern der betroffenen Plattformen zu überprüfen; nützliche Referenzen sind Mandiants Publikationen zu Bedrohungskämpfern und Microsofts Dokumentation zur Sicherheit in Teams. https: / / www.mandiant.com und der technische Blog von Cato Networks über kollaborative Tool-Angriffe bieten praktischen Kontext für Verteidiger, die Kontrollen an diese Art von Taktik anpassen müssen: https: / / www.catonetworks.com / blog /.

Kurz gesagt, die von UNS6692 beschriebene Bedrohung bestätigt, dass die Gegner die Kombination von Sozialtechnik mit legitimer Infrastruktur zur Überwindung traditioneller Verteidigungen perfektionieren. Die Antwort muss ganzheitlich sein: technisch, organisatorisch und kulturell, die Aktualisierung der Kontrollen auf kollaborativen Plattformen, die Verschärfung der Installations- und Zugangspolitik und die Ausbildung von Menschen, die nicht die schwache Verbindung in der Sicherheitskette sind.