LONDON (IT BOLTWISE) – Angreifer kombinieren seit 2026 Voice-Phishing über Microsoft Teams mit gefälschten Updates und Fernwartungs-Fallen, um in Unternehmensumgebungen einzudringen. Im Zentrum steht eine GoGRPC-Hintertür, die per gRPC über HTTP/2 auf Port 443 mit Kommando-Servern kommuniziert und sich über Windows-Registry dauerhaft absichert. Parallel läuft eine weitere Kampagne, die über manipulierte Teams-Dokumentfreigaben und kompromittierte Webseiten Nutzer zum „Update“ lockt. Dazu kommt ein Fake-Meeting-Ansatz, der Browser nach Krypto-Wallet-Daten durchsucht und auf Windows wie macOS unterschiedliche Schadkomponenten nachlädt.
Unternehmen sehen sich aktuell weniger mit „klassischem“ Phishing konfrontiert als mit einem orchestrierten Angriffsmuster, das in der Praxis die Schwachstelle Mensch systematisch ausnutzt und technische Kontrolle nachschiebt. In den Beobachtungen, die seit Jahresbeginn 2026 zunehmen, fällt vor allem die Kopplung von Voice-Elementen an bekannte Unternehmensprozesse auf: Ein vermeintlicher IT-Helpdesk meldet sich nicht über ein beliebiges Kontaktformular, sondern direkt in Microsoft Teams, um eine Quick-Assist-Fernsitzung zu starten. Wer als Ziel besonders gut erreichbar ist, also etwa hochrangige Mitarbeiter und Führungskräfte, bekommt dadurch eine echte Arbeitsrealität präsentiert: Tool-Namen, Kommunikationskanäle und Freigaben wirken vertraut, während der eigentliche Zweck bereits in den ersten Minuten verschleiert wird.
Technisch setzt die erste Welle auf eine konkrete Abfolge aus Überwältigung und Zugriffsaufbau. Startpunkt ist „Spam Bombing“, bei dem das Opfer mit einer Flut an Benachrichtigungen unter Druck gesetzt wird. Anschließend folgt der Teams-Anruf durch den angeblichen IT-Mitarbeiter, der das Ziel zur Einrichtung einer Quick-Assist-Sitzung bewegt. Sobald die Verbindung steht, installieren die Angreifer eine spezialisierte Hintertür namens GoGRPC in vier Varianten (Lep, Giver, Pet, Kind). Entscheidend ist dabei nicht nur die Schadlogik, sondern der Kommunikationsweg: GoGRPC nutzt das gRPC-Protokoll über HTTP/2 auf Port 443, um Befehle mit Kommando-Servern auszutauschen. Zusätzlich laufen typische Reconnaissance-Schritte wie „systeminfo“ und „net user“, während die Persistenz über die Windows-Registry organisiert wird – ein Ansatz, der auf langfristigen Zugriff statt einmaliger Datenerhebung ausgerichtet ist.
Neben dieser Helpdesk-Schiene läuft parallel eine zweite Kampagne, die das gleiche Grundprinzip „vertraute Oberfläche“ nutzt, aber den Weg ins Zielnetz anders wählt. Die Kampagne wird als Operation BlueDash beschrieben, auch unter dem Alias ZeroBEC, und soll seit Februar 2026 aktiv sein. Der Ablauf beginnt mit gefälschten Microsoft-Teams-Dokumentenfreigaben: Nutzer werden über Hinweise auf eine scheinbar offizielle Freigabe zu einer kompromittierten Website gelockt, die wie eine Microsoft-Store-Seite wirkt. Erst dort folgt die eigentliche Falle: Nutzer sollen „ein Update herunterladen“, das auf der Client-Seite nicht nur eine Oberflächenfunktion erfüllt, sondern über versteckte PowerShell-Skripte legitime Fernwartungstools nachinstalliert. Genannt werden dabei unter anderem Level RMM und ConnectWise ScreenConnect. Dass die Angreifer auf offiziell wirkende Software setzen, ist ein klassisches Angriffsdesign: Hatte man früher eher auf „neue“ Malware-Signaturen gezielt, um Erkennung zu umgehen, wird hier stattdessen der Sicherheitskontext ausgenutzt, weil bekannte Toolketten weniger Misstrauen auslösen.
Weil die Angriffsfläche nicht bei „nur einem“ Client- oder Abteilungsszenario endet, verschiebt sich der Fokus zugleich in Richtung Identitätsdiebstahl und datengetriebener Auslieferung. Besonders sichtbar wird das beim Fake-Meeting-Ansatz: Eine mit Nordkorea in Verbindung gebrachte Gruppe, die als BlueNoroff (Ableger der Lazarus Group) beschrieben wird, kontaktiert Opfer über gekaperte Telegram-Accounts. Typische Zielprofile sind Gründer oder CEOs, also genau jene Rollen, die häufig und spontan Meetings annehmen. Der Angriff lenkt dann über einen Calendly-Link auf eine gefälschte Zoom- oder Teams-Seite. Im Browser wird nach Kryptowallet-Daten gesucht, bevor die Schadsoftware nachgeladen wird. Auf Windows deaktiviert ein PowerShell-Loader Microsoft Defender und stiehlt Telegram-Sitzungen; auf macOS sollen ein gefälschtes Installationsprogramm „Chrome-Master-Keys“ sowie Keychain-Daten einsammeln. Für die Lageeinschätzung ist auch die Verteilung relevant: Rund 80 Prozent der Ziele kommen aus der Krypto-Branche, etwa 45 Prozent der Opfer haben eine Führungsposition.
Damit fügt sich das Ganze in einen breiteren Trend, den auch Messdaten zur Markenimitation stützen. Laut Erhebungen für das zweite Quartal 2026 bleibt Microsoft die am häufigsten imitierte Marke in Phishing-Angriffen und erreicht 23 Prozent aller weltweiten Vorfälle; auf den nächsten Plätzen folgen LinkedIn mit 11 Prozent sowie Google und Apple jeweils mit 6 Prozent. Auffällig ist zudem, dass ChatGPT erstmals in den Top-Ten der imitierten Marken auftaucht. Für Sicherheits- und IT-Leiter heißt das: Es genügt nicht, allein die technischen IOC-Listen im Blick zu behalten, wenn die Social-Engineering-Phase zunehmend auf bekannte Unternehmensworkflows, reale Kommunikationskanäle und glaubwürdige Dokument- oder Update-Kontexte setzt. In solchen Fällen entscheidet die Abwehrstrategie häufig früher, nämlich bei der Frage, ob ein Benutzer die Aufforderung zur Fernwartung wirklich verifizieren kann – gerade wenn der Angreifer Druck aufbaut.
Als weiterer Beleg für die Breite der Bedrohung tauchen zusätzlich Angriffe auf Infrastrukturpfade auf, die nicht direkt vom Endnutzer „gesehen“ werden. Seit Juni 2026 soll eine unbekannte Gruppe öffentliche WLAN-Zugänge in Hotels und Konferenzzentren in den USA, Indien und Saudi-Arabien ins Visier nehmen. Über manipulierte DNS-Einträge werden Geschäftsreisende auf gefälschte Microsoft-365-Anmeldeseiten umgeleitet – ein Vorgehen, das als „Adversary-in-the-Middle“ beschrieben wird. Und auch Ransomware setzt nicht nur auf den initialen Social-Engineering-Hebel: Die Gruppe Clop nutzt seit Juni 2026 eine kritische Sicherheitslücke in PTC Windchill und FlexPLM (CVE-2026-12569, CVSS-Score 9,3). Der Fehler erlaubt Code-Ausführung ohne Authentifizierung und die Installation von Web-Shells. Ergänzend warnt das FBI vor der Silent Ransom Group (SRG), die seit 2022 US-Anwaltskanzleien angreift, sich als IT-Support ausgibt und unbemerkt Speichersticks in Unternehmenshardware platziert. Das Muster ist konsistent: Identitätsdiebstahl und Social Engineering werden zur neuen Angriffswaffe, während technische Ausnutzung die Eintrittstür in Richtung Persistenz und laterale Bewegung öffnet.
Für die Praxis ergibt sich daraus weniger ein „einmaliges Update“ als ein Maßnahmenpaket über mehrere Ebenen hinweg. Organisationen sollten Fernwartungs- und Quick-Assist-Prozesse so auslegen, dass der einzelne Nutzer die letzte Entscheidung nicht unter Zeitdruck treffen muss: zum Beispiel durch klar definierte Freigabeläufe, zusätzliche Verifikation bei ungewöhnlichen Team- oder Kalenderkontexten und durch Regeln, die die Installation von Fernwartungssoftware auf unerwarteten Pfaden erschweren. Parallel gehört das systematische Patchen kritischer Plattformen wie Windchill/FlexPLM zur Hygiene, weil eine einzelne Web-Shell-Fähigkeit später komplette Incident-Ketten beschleunigen kann. Gerade in Umgebungen mit viel externem Zugriff und Reiseprofilen sollten zudem Netzschutz und DNS-Integrität überprüfbar sein, damit „Adversary-in-the-Middle“-Szenarien erst gar nicht zuverlässig funktionieren. So entsteht ein Sicherheitsnetz, das nicht nur auf Erkennung reagiert, sondern Angriffe in der entscheidenden Phase stoppt: wenn aus einer Nachricht ein Zugriff wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "GoGRPC-Hintertür und Fake-Meetings: Teams-Phishing als Enterprise-Risiko" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "GoGRPC-Hintertür und Fake-Meetings: Teams-Phishing als Enterprise-Risiko" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »GoGRPC-Hintertür und Fake-Meetings: Teams-Phishing als Enterprise-Risiko« bei Google Deutschland suchen, bei Bing oder Google News!