LONDON (IT BOLTWISE) – In der aktuellen ThreatsDay-Ausgabe zeigt sich ein klares Muster: Angriffe wirken für Nutzer wie „normale“ Workflows, greifen aber über OAuth-Consent, gefälschte IT-Kontakte und versteckte Remote-Session-Setups an. Besonders herausgestellt wird, wie Teams-Interaktionen zu RMM-Ausführungen führen können und wie „Allow“-Klicks Berechtigungen kippen. Gleichzeitig rückt Microsoft den Kernel-Schutz stärker in den Default-Fokus und will Memory-Integrity-Mechanismen ab Oktober 2026 auf mehr Geräte ausrollen. Für Security-Teams verschiebt sich damit der Schwerpunkt weg von einzelnen Kampagnen hin zu konsequentem Access-Review und weniger Angriffsfläche in den Basis-Einstellungen.
Wer ThreatsDay diese Woche liest, merkt schnell: Der entscheidende Unterschied liegt nicht in exotischer Kryptografie oder in „neuen“ Zero-Days, sondern in der Art, wie Angreifer Zugang mit einem vertrauten Gesichtsmuster verknüpfen. Mehrere der beschriebenen Kampagnen bauen darauf, dass Nutzer Anfragen innerhalb bekannter Oberflächen akzeptieren – etwa in Form von scheinbar harmlosen Nachrichten, Dokumenten oder App-Freigaben. Das zieht sich bis zur OAuth-Welt durch: Laut Warnungen, die in der Zusammenstellung zitiert werden, werden prominentere Zielpersonen und auch deren Umfeld direkt über Messaging-Accounts angeschrieben, um über eine Zustimmung zu bösartigen „Consent“-Flows Konten zu übernehmen, ohne dass ein klassisches Passwort-Reset überhaupt notwendig wäre.
Technisch greifbar wird das Muster gleich in mehreren Teams- und Remote-Management-Beispielen. Ein von Microsoft beschriebener Intrusion-Ansatz setzt auf Microsoft Teams als Türöffner: Angreifer impersonieren IT- oder Helpdesk-Personen im externen Collaborations-Kontext und bringen Nutzer dazu, eine interaktive Remote-Session zu erlauben. Nachdem der Zugriff per RMM-Tools etabliert ist, folgt ein orchestrierter Ablauf: PowerShell lädt ein bösartiges MSI nach, das wiederum eine portable Node.js-Laufzeit anstößt und einen obfuskierten JavaScript-Implant installiert. Danach kommt die typische „Aufräum“-Phase für Persistenz und Kontrolle – Host- und Active-Directory-Reconnaissance, periodisches Screenshotting und späteres Pivotieren über WinRM hin zu hochpriorisierten Zielen wie Domain Controllern.
Daneben beschreibt die Ausgabe eine skalierte Social-Engineering-Variante, die unter dem Namen Spring Ring mit mehr als 150 Mitarbeitern in mindestens zehn Unternehmen in Verbindung gebracht wird. Dort werden externe Microsoft-Teams-Accounts so eingesetzt, dass aus einem Chat scheinbar ein „Benachrichtigen und Helfen“ wird, faktisch aber eine Voice-Phishing-(Vishing)-Kombination mit RMM-Koerzierung startet. In einer weiterentwickelten Ausprägung wechselt das Vorgehen sogar in Richtung NTLM-Relay, um einen Angriff auf die Domain-Controller-Ebene zu verstärken. Aus Verteidigersicht ist daran weniger der konkrete Relay-Mechanismus entscheidend als der Stress-Test für Prozesse: Wenn Mitarbeitende nach Gesprächs- und Chat-Kontext entscheiden, geraten technische Kontrollpunkte wie „wer darf remote bedienen?“ und „welche RMM-Tools sind zulässig?“ schnell aus dem Blick.
Während die Teams- und OAuth-Fälle eher die „Eingangstür“ erklären, liefert die ThreatsDay-Liste auch ein Bild dafür, wie schnell sich nach erfolgreicher Initial Access eine Schadensstrategie in Richtung Erpressung verdichten kann. Für Gold Sherwood (Gentlemen) wird in dem Bericht eine wiederholbare Affiliate-Strategie genannt: opportunistischer Einstieg, schnelle Privilegsteigerung, legitime Remote-Access-Mechanismen, Tool-Staging in vertrauenswürdigen Systempfaden, zielgerichtete Datenausleitung, aggressives Umgehen von Detection sowie gezielte Störung von Backups vor der eigentlichen Verschlüsselung. Sophos ordnet dabei besonders die Flexibilität der Affiliates ein – vom Einsatz nativer Windows-Utilities über kommerzielle und Open-Source-Werkzeuge bis hin zu Backup-Service-Tampering und BYOVD-basierten Ansätzen, um die Wirkung zu maximieren.
Dass sich der Einstieg zudem „produktisiert“ hat, zeigt eine weitere Meldung: Outsider wird als resilienter Phishing-as-a-Service-Betrieb beschrieben, dessen Infrastruktur trotz behördlicher Eingriffe weiter Produkte für Affiliates bereitstellt. Besonders auffällig ist die Beobachtung, dass aus einer früher technisch anspruchsvolleren Operation eine Abo- und Kanalstruktur geworden ist. Die Kampagnen würden über SMS ausgeliefert, und die Betreiber sollen ihre Phishing-Seiten so betreiben, dass Live-Keylogging sowie Manipulationen an MFA-Herausforderungen möglich sind – also genau dort, wo Sicherheitskonzepte in der Praxis am häufigsten „verkabelt“ werden. Für Unternehmen bedeutet das: Selbst wenn einzelne Domains verschwinden, bleibt das Angriffsmodell bestehen, solange Berechtigungen, Passwort-/Session-Handling und Social-Engineering-Kanäle nicht nachweislich kontrolliert sind.
Abseits der Angriffsseite rückt die Ausgabe aber auch konkrete Hardening-Ansätze in den Fokus. Microsoft kündigt an, Memory-Integrity-Schutz (eine Komponente aus Virtualization-Based Security) ab Oktober 2026 auf mehr „eligible devices“ auszurollen. Die Logik dahinter ist pragmatisch: Memory-Integrity soll Kernel-nahen Schutz standardmäßig verbessern, weniger Konfigurationskomplexität erzeugen und so als Basis dienen, um zukünftige Security-Innovationen wie Hotpatch-Updates nutzbar zu machen. Gleichzeitig steht im Artikel der praktische Handlungsimpuls im Vordergrund: Ein Passwortwechsel schließt nicht automatisch alle Zugangswege – wenn etwa App-Freigaben, offene Remote-Sessions oder „trusted“ Installationspfade missbraucht wurden, bleibt das Problem bestehen. Daher sollte Recovery nicht nur Credentials behandeln, sondern aktive Sessions beenden, unbekannte App-Zugriffe entfernen und Remote-Tools überprüfen.
Ergänzend greift die ThreatsDay-Ausgabe auch die Ebene „Identitäten und Einwilligungen“ an, wo sich Angriffe zunehmend von klassischen „Logins“ lösen. Dropbox meldet rund 5.000 kompromittierte Konten, bei denen Angreifer über Legacy-Integrationen im Zusammenhang mit einem Lenovo-ID-System auf Inhalte zugreifen und diese herunterladen konnten; nach der Entdeckung wurden Sessions, die über diese Lenovo-ID authentifiziert waren, beendet. Auf der Internet-Seite verlagern sich zudem Risiken in Richtung Supply- und Installationsketten: Ein Scan von llms.txt- bzw. llms-full.txt-Dateien an Web-Wurzeln bei Verteidigungs- und Technologieunternehmen soll sogenannte KI-Agenten-Anweisungen enthalten, in denen teils unsaubere Installationshinweise oder „Telefon-home“-Mechanismen genutzt wurden. In einem konkreten Fall wird beschrieben, dass eine NPM-Paketreferenz in einer Konfiguration auf ein manipuliertes Paket zeigte und Code Telemetrie über Username, Rechnername und Arbeitsverzeichnis an eine externe Infrastruktur sendete – das betroffene System wurde anschließend adressiert.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "ThreatsDay: OAuth-Consent-Phishing, Teams-RMM-Trojaner und verschärfte Kernel-Schutzmaßnahmen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "ThreatsDay: OAuth-Consent-Phishing, Teams-RMM-Trojaner und verschärfte Kernel-Schutzmaßnahmen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »ThreatsDay: OAuth-Consent-Phishing, Teams-RMM-Trojaner und verschärfte Kernel-Schutzmaßnahmen« bei Google Deutschland suchen, bei Bing oder Google News!