BERLIN / LONDON (IT BOLTWISE) – Sicherheitsforscher zeigen, wie die DragonForce-Akteure über Microsoft-Teams-Relay-Infrastruktur C2-Verbindungen tarnt. Mit einem Go-basierten RAT namens Backdoor.Turn holen sich die Angreifer anonyme Visitor-Tokens aus den Skype/Teams-Identitätsdiensten, nutzen legitime TURN-Relays und schalten danach eine direkte QUIC-Sitzung zu einem echten Kommando- und Kontrollserver. Die Beobachtungen umfassen zudem einen BYOVD-gestützten DLL-Side-Loading-Angriff und Hinweise auf fortgesetzte Zugriffsabsichten nach dem Ransomware-Deployment.
Angreifer aus dem Umfeld von DragonForce nutzen offenbar eine besonders unauffällige Tarntechnik, um Command-and-Control (C2)-Verkehr im Netzwerk zu verbergen: Statt typische Web- oder TCP-Verbindungen aufzubauen, lässt sich Backdoor.Turn in die Microsoft-Teams-Relay-Infrastruktur einweben. Der Kern besteht darin, dass das Schadprogramm zunächst einen anonymen Teams-Visitor-Token aus den Skype-basierten Identitätsdiensten anfordert, anschließend einen legitimen Microsoft TURN-Relay für die Verbindungsanbahnung verwendet und danach eine direkte QUIC-Sitzung zum realen C2-Endpoint startet. Für Verteidiger bedeutet das, dass die beobachtbaren Verbindungen zunächst wie regulärer Teams-Traffic wirken.
Technisch bemerkenswert ist dabei die Rolle von QUIC: Als modernes Transportprotokoll mit verschlüsselten, multiplexed Sessions kann QUIC den Netzwerkverkehr stärker „normal“ erscheinen lassen, selbst wenn der Payload bösartig ist. In der beobachteten Ausführung wird die Backdoor so eingebunden, dass das einzige, was im Monitoring sichtbar bleibt, ausgehende Verbindungen zu legitimen Teams-Servern sind. Laut den vorliegenden Analysen befanden sich die Angreifer zwischen ein und zwei Monaten auf dem Zielsystem, bevor weitere Spuren dominiert wurden. Das verschiebt den Fokus von reiner Ransomware-Bekämpfung hin zu langlebiger Zugriffs- und Bewegtbild-in-the-wire Erkennung.
Die Story fügt sich in eine Entwicklung ein, die über einfache Malware-„Call-home“-Mechanismen hinausgeht. Bereits im August 2024 wurde eine Stealth-Variante namens „Ghost Calls“ öffentlich beschrieben, die ähnliche relaygestützte Kommunikation nutzt; Backdoor.Turn greift dieses Muster erkennbar auf. Historisch starteten viele Gruppen mit klassischem C2 über HTTP(S), später kamen Domain-Fronting, verschleierte Pfade, verschlüsselte Protokolle und Frameworks wie TLS-ähnliche Tunneling-Varianten hinzu. Neu ist hier weniger das „Verschlüsseln“, sondern die gezielte Nutzung eines Unternehmens-Ökosystems, das ohnehin ständig mit dem Internet kommuniziert – Microsoft 365 und insbesondere Teams als sozial akzeptierter Kommunikationsanker.
Im Marktkontext lässt sich das auch als Wettbewerb zwischen „Cloud-Normalität“ und „Security-Realität“ verstehen. Während Unternehmen ihre Telemetrie häufig auf Standarddienste und bekannte Endpunkte stützen, stellen relaybasierte Setups diese Annahme infrage. Microsoft-Ökosysteme gelten für SOC-Teams zwar als gut dokumentiert, doch die konkrete Mischung aus Token-Abfrage aus der Skype-backed Identität, TURN-Relay-Setup und anschließendem QUIC-Dialog zu einem fremden C2-Server ist schwerer per Heuristik zu erkennen. Die Berichte stammen aus einer forschungsnahen Perspektive eines Broadcom-eigenen Sicherheitsumfelds und zeigen zudem, wie eng Abwehrteams auf Details wie Visitor-Token-Logik angewiesen sind.
DragonForce selbst wird in den Analysen nicht nur als „RaaS-Gruppe“ eingeordnet, sondern als Akteur mit stärker formalisierten Strukturen. Ein Teil der operativen Historie wirkt wie eine bewusste Verlagerung von standardisierten Auslieferungen zu einem modularen Tradecraft: Backdoor.Turn wurde nach dem Ransomware-Deployment in den legitimen Prozess „DbgView64.exe“ injiziert, was auf einen Versuch hindeutet, die Kontrolle über das kompromittierte System für spätere Angriffe oder sogar für Weiterverkauf aufrechtzuerhalten. Als Initial Access gelten bislang zwei Möglichkeiten: ein Ausnutzen einer Schwachstelle in einem SQL- bzw. MS-SQL-Server oder der Erwerb über einen Initial Access Broker (IAB). Unklar bleibt dabei, wie die Kette im konkreten Fall exakt begann.
Die Eintrittsspur im Zielnetz begann den Angaben zufolge bereits im Dezember 2025. Zunächst lief eine PowerShell-Aktion, die unter dem Vorwand eines „Tech Support Hotfix“ ein ZIP-Archiv ablegte. Daraus wurde eine DLL-Side-Loading-Kette gestartet, bei der eine „Rogue DLL“ Reconnaissance durchführt, Persistence aufbaut und zudem Sicherheitsmechanismen gezielt stumm schalten soll – unter anderem über einen Huawei-Treiber mit dem Namen „HWAuidoOs2Ec.sys“. Methodisch fällt das unter BYOVD („Bring Your Own Vulnerable Driver“), also die Ausnutzung legitimer, aber verwundbarer Treiberbausteine, um Eskalationen oder Tarnung zu ermöglichen. Dasselbe Muster soll später auch in größeren Malvertising-Aktionen wiederzufinden gewesen sein, allerdings zeitlich nach dem Ransomware-Vorfall.
Für die Praxis in der Unternehmenssicherheit ist das Zusammenspiel aus mehreren Techniken entscheidend: Backdoor-Turn tarnt C2 über Teams-Relays, BYOVD und Side-Loading liefern die privilegierte Ausführungsbasis, und die Prozessinjektion sorgt dafür, dass der Betrieb langfristig im „normal wirkenden“ Hostkontext stattfindet. Dazu passen die Hinweise auf weitere Treiber, die in der Kampagne als Komponenten genutzt wurden, darunter auch solche, die an bekannte CVEs geknüpft sind. In der Summe spricht das für einen mehrstufigen Angriffsplan mit Wiederverwendbarkeit der Bausteine, vergleichbar mit dem, was man von fortgeschrittenen APT-ähnlichen Gruppen kennt, nur hier innerhalb klar erkennbarer Ransomware-Operationalisierung.
Mit Blick auf die Zukunft deutet die Entwicklung auf eine weitere Verschiebung hin zu „Living off allowed infrastructure“: Je mehr Angreifer Kommunikationswege aus legitimen Produktivsystemen ableiten, desto weniger reicht klassische Blacklist-Logik aus. Für Entwickler und Security-Teams bedeutet das, dass Telemetrie über reine Domain- oder IP-Listen hinausgehen muss: Session-Muster, Token-Workflows, Prozessintegrität und ungewöhnliche Bindings zwischen Identitäts-Backends, Relay-Setups und Transportprotokollen wie QUIC sollten stärker korreliert werden. Experten empfehlen, die Erkennung auf Verhaltens- und Prozessketten zu stützen und nicht nur auf den sichtbaren Outbound-Endpunkt. Wenn Gruppen diesen Ansatz weiter verfeinern, werden kurzlebige Indikatoren allein immer seltener ausreichen – und die Bedarfslücke bei langfristiger Detection wird größer.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "DragonForce: Backdoor.Turn versteckt C2-Traffic in Microsoft-Teams-Relays über TURN und QUIC" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "DragonForce: Backdoor.Turn versteckt C2-Traffic in Microsoft-Teams-Relays über TURN und QUIC" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »DragonForce: Backdoor.Turn versteckt C2-Traffic in Microsoft-Teams-Relays über TURN und QUIC« bei Google Deutschland suchen, bei Bing oder Google News!