LONDON (IT BOLTWISE) – Eine neue Kampagne nutzt Sprachanrufe über Microsoft Teams, um Mitarbeiter zum Fernzugriff zu bewegen. Laut Sophos ordnen die Sicherheitsforscher die Aktivität der Kampagne STAC4749 zu, bei der Chaos-Ransomware über einen Loader nachgeladen wird. Besonders auffällig: Die Gespräche sollen zwischen 90 Sekunden und 20 Minuten dauern. Danach verläuft die Infektion offenbar teils sehr schnell bis zur vollständigen Verschlüsselung der Daten.
Microsoft Teams ist in Unternehmen längst mehr als nur ein Chat- und Meeting-Tool. Gerade weil in vielen Organisationen der Support-Kanal darüber läuft, kann die Plattform auch als sozialer Einstiegspunkt dienen. Sicherheitsforscher von Sophos beschreiben eine neue Angriffswelle, bei der Akteure gezielt Sprachanrufe über Teams einsetzen, um per Voice-Phishing (Vishing) Zugriff auf Unternehmensumgebungen zu erlangen. Ziel sei die Installation von Chaos-Ransomware – nicht als langsamer „Drop“, sondern als Kette aus Manipulation, Fernzugriff und anschließender Verschlüsselung.
Für die technische Einordnung ist die Kampagnenzuordnung aufschlussreich: Die Experten ordnen die Aktivität der Kampagne STAC4749 zu. Auffällig ist zudem die zeitliche Eingrenzung – der Bericht nennt den Zeitraum von Februar bis Juni 2026. In der Auswertung der Angriffsziele zeigen sich klare regionale Schwerpunkte: 50 % der betroffenen Organisationen sollen in Kanada gelegen haben, weitere 44 % in den Vereinigten Staaten. Auch Branchen lassen sich laut Sophos nicht auf einen einzelnen Sektor festnageln, allerdings ragen der Dienstleistungsbereich mit 20 % sowie das verarbeitende Gewerbe mit 17 % heraus; Energie und Bauwesen folgen jeweils mit 12 %. Ergänzend werden auch Kanzleien mit Fokus auf geistiges Eigentum (IP Law) als Ziele genannt.
Technisch betrachtet kombiniert der Angriff laut den beschriebenen Beobachtungen soziale Manipulation mit sehr pragmatischen Fernwartungswegen. Die Angreifer geben sich in Teams-Anrufen als Mitarbeiter des IT-Supports aus. Die Dauer dieser Gespräche variiert in den Analysen von 90 Sekunden bis zu 20 Minuten – genug Zeit, um Vertrauen aufzubauen und gleichzeitig unterhalb jener Aufmerksamkeitsschwellen zu bleiben, die bei längeren Abstimmungen oft greifen. Sobald das Opfer „zustimmt“, sollen die Angreifer über die Nutzung von Quick Assist oder RemSupp einen Fernzugriff erhalten. Genau diese Phase ist für die gesamte Kampagne entscheidend, weil sie den Übergang von einer rein informativen Betrugsaktion zu einem echten technischen Zugriffsereignis markiert.
Hat sich der Zugriff etabliert, wechselt die Operation in den modus „Systemsteuerung“. Sophos beschreibt dann das Einsetzen eines maßgeschneiderten Loaders sowie einer Backdoor. Für die weitere Ausbreitung im Netzwerk nutzen die Angreifer das Remote Desktop Protocol (RDP) für seitliche Bewegungen (Lateral Movement) und führen zudem Aufklärungsmaßnahmen durch. Um nach einem Neustart oder über Sessions hinweg handlungsfähig zu bleiben, wird die Persistenz über Registry Run Keys sichergestellt. Die Kommunikation mit dem Command-and-Control-Server (C2) soll über das gRPC-Protokoll erfolgen. Dieses Zusammenspiel aus Fernzugriff, später Aktivierung per Loader und kontrollierter C2-Kommunikation zeigt, wie stark moderne Ransomware-Operationen inzwischen die Bereiche „Social Engineering“ und „Echtzeit-Intrusion“ miteinander verzahnen.
Besonders relevant ist dabei die Geschwindigkeit. Die Forscher beobachteten mindestens drei erfolgreiche Bereitstellungen der Chaos-Ransomware. In einem dokumentierten Fall reichte die Spanne von der ersten Kontaktaufnahme bis zur vollständigen Verschlüsselung der Daten für Sophos zufolge für weniger als 17 Stunden. In solchen Zeitfenstern entscheidet sich nicht nur der Erfolg der Erpressung, sondern auch, wie gut Incident-Response-Prozesse gegen einen „präventiv falschen Kontext“ wirken – also gegen Angriffe, die wie Support aussehen. Dazu passt auch eine weitere Beobachtung: Die Akteure sollen gefälschte Benutzernamen und Domains mit der Endung.top verwendet haben, also Infrastruktur, die für Nutzer außerhalb einer technischen Prüfung kaum auffällig wäre.
Der Bericht ordnet die STAC4749-Kampagne zudem in breitere Trends ein. Sophos verweist auf den Active Adversary Report 2026 und nennt dort als Kernaussage, dass 67,32 % der untersuchten Sicherheitsvorfälle mit einer kompromittierten Identität begonnen haben. Parallel steigt der Druck auf Unternehmen, weil die Angriffsoberfläche durch Identitäten, Remote-Zugriffe und Kollaborationskanäle wächst und weil gleichzeitig neue gesetzliche Anforderungen die Reifegrade im Sicherheitsmanagement stärker in den Fokus rücken. Für die operative Abwehr nennt der Text messbare Entwicklungen: Die Erkennungsrate von Phishing-Versuchen über Microsoft Teams sei von März bis April 2026 um 19 % gestiegen, im Juni folge ein weiterer Zuwachs von 10 %. Noch deutlicher falle der Anstieg bei bösartigen Sprachanrufen aus; deren Zahl habe seit Jahresbeginn 2026 um 80 % zugenommen.
Für IT-Verantwortliche lassen sich aus den beschriebenen Schritten konkrete Handlungsfelder ableiten. Sophos empfiehlt den Einsatz von phishing-resistenten Multi-Faktor-Authentifizierungen (MFA), weil bei Voice-Phishing gerade die Umgehung klassischer Einmal-Passwörter und Social-Proofs ein zentrales Ziel ist. Daneben sollten Fernzugriffsanwendungen restriktiv gehandhabt werden – nicht als pauschales Verbot, sondern mit klaren Freigabewegen, Protokollierung und einer konsequenten Trennung zwischen „Support-Interaktion“ und „administrativer Handlung“. Entscheidend ist auch die Prozessseite: Unternehmen sollen laut Empfehlung klare Verfahren zur Verifizierung von IT-Support-Anfragen etablieren, etwa durch abgesicherte Rückrufmechanismen oder zentrale Ticketsysteme, sodass ein Teams-Anruf nicht automatisch als legitimer Auslöser für Fernzugriff dient. In der Praxis wird damit aus einem scheinbar harmlosen Kommunikationskanal ein strikt kontrollierter Zugriffspunkt – und genau dort setzt die nächste Generation von KI-gestützter Sicherheitsüberwachung an, ohne die Ursache (Manipulation + Zugriff) allein durch Analytik „wegzublenden“.
Auch aus Markt- und Wettbewerbs-Sicht ist die Meldung ein Hinweis auf den nächsten Reifegrad in der Angreiferstrategie: Statt ausschließlich auf E-Mail-Phishing setzen die Akteure auf den Kontext von Kollaboration, in dem Mitarbeiter nicht nur erreichbar sind, sondern in dem Support „zuständig wirkt“. Das erhöht die Erfolgswahrscheinlichkeit, weil die Hürde zur ersten Interaktion sinkt und die technische Folgehandlung bereits vorbereitet wird. Wer Teams und Sprachkanäle als Teil seiner Identitäts- und Zugriffsarchitektur betrachtet, kann die Lücke zwischen „Ich höre mich plausibel angesprochen“ und „Ich gebe wirklich Fernzugriff“ enger schließen – ein Schritt, der angesichts der unter 17 Stunden genannten Verschlüsselungsspanne in vielen Organisationen schnell zur Priorität wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Microsoft Teams wird zum Vishing-Trigger: Sophos warnt vor Chaos-Ransomware" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Microsoft Teams wird zum Vishing-Trigger: Sophos warnt vor Chaos-Ransomware" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Microsoft Teams wird zum Vishing-Trigger: Sophos warnt vor Chaos-Ransomware« bei Google Deutschland suchen, bei Bing oder Google News!