MuddyWater nutzt Microsoft Teams zum Datendiebstahl

Zusammenfassung des Vorfalls

Die Cybersicherheitswelt wurde durch eine neue Angriffskampagne von MuddyWater (auch bekannt als Seedworm oder TEMP.Zagros), einer Advanced Persistent Threat (APT)-Gruppe, die vermutlich vom Iran unterstützt wird, alarmiert. Die Gruppe hat eine hochentwickelte Methode entwickelt, die auf Microsoft Teams abzielt, die beliebte Kollaborationsplattform, die von Millionen von Organisationen weltweit genutzt wird. Die Angreifer nutzen Phishing-Angriffe über Teams, um Benutzeranmeldeinformationen zu exfiltrieren. Um dieses Hauptziel zu verschleiern, setzen sie eine "False Flag"-Taktik ein, indem sie einen Ransomware-Angriff starten. Diese Strategie lenkt die Cybersicherheitsteams effektiv ab und erschwert die Entdeckung des eigentlichen Datendiebstahls.

Gestohlene Daten und Umfang

Das Hauptziel dieses Angriffs ist nicht die massenhafte Datenexfiltration, sondern der strategische Erwerb wertvoller Anmeldeinformationen. Das Ziel von MuddyWater ist es, Benutzernamen, Passwörter, Zugriffstoken und andere Anmeldeinformationen zu stehlen, die zur Infiltration der Netzwerke der Zielorganisationen verwendet werden können. Die durchgesickerten Daten können umfassen:

• Active Directory-Anmeldeinformationen: Dies sind die kritischsten Kontodaten in Unternehmensnetzwerken und können Angreifern weitreichende Berechtigungen gewähren.
• Microsoft 365/Azure-Kontoinformationen: Bietet Zugriff auf die Cloud-Infrastruktur und sensible Unternehmensdaten.
• VPN- und Fernzugriffsdaten: Ermöglicht es Angreifern, sich von außen sicher in das Unternehmensnetzwerk einzuschleusen.
• Anmeldeinformationen von technischem Personal und Administratoren: Diese Konten mit den höchsten Berechtigungen im Netzwerk sind die wertvollsten Ziele zur Ausweitung des Angriffsumfangs.

Der Umfang des Angriffs zielt auf mittlere bis große Organisationen in bestimmten Sektoren ab, insbesondere in den Bereichen Telekommunikation, Regierung, Technologie und Verteidigungsindustrie. Obwohl die Opfer geografisch vielfältig sind, deuten die früheren Aktivitäten von MuddyWater auf einen Fokus auf Ziele im Nahen Osten, in Europa und Nordamerika hin.

Technische Aspekte des Angriffs

Die Kampagne von MuddyWater verfolgt eine vielschichtige und trügerische Strategie. Die Angriffskette besteht typischerweise aus den folgenden Schritten:

1. Erster Zugriff: Phishing über Microsoft Teams

Die Angreifer nutzen die sehr vertrauenswürdige Plattform Microsoft Teams als Einstiegspunkt. Sie senden in der Regel eine bösartige Datei (oft ein ZIP-Archiv oder eine als PDF getarnte ausführbare Datei), die wie eine Projektdatei, eine Rechnung oder ein wichtiges Dokument aussieht, von einem kompromittierten Konto oder einem gefälschten Profil. Benutzer öffnen diese Datei eher, weil sie Nachrichten aus einer Unternehmensumgebung wie Teams vertrauen.

2. Ausführung der Malware

Wenn der Benutzer die Datei öffnet, wird ein Fernzugriffstrojaner (RAT) oder ein Credential Stealer auf dem System installiert. Diese Software läuft unbemerkt im Hintergrund, zeichnet möglicherweise Tastenanschläge auf (Keylogger), stiehlt in Browsern gespeicherte Passwörter oder extrahiert Passwort-Hashes aus den Anmeldeinformationsspeichern von Windows (wie LSASS).

3. Datenexfiltration und laterale Bewegung

Sobald die Anmeldeinformationen gestohlen sind, nutzen die Angreifer sie, um sich lateral innerhalb des Netzwerks zu bewegen. Ihr Ziel ist es, Konten mit höheren Berechtigungen zu kompromittieren und Zugang zu kritischen Servern oder Datenbanken zu erhalten. Die gestohlenen Daten werden dann verdeckt, oft über verschlüsselte Kanäle, an die Command-and-Control (C2)-Server der Angreifer gesendet.

4. Die falsche Flagge: Ransomware-Angriff

Nachdem sie ihr Hauptziel, Spionage und Datendiebstahl, erreicht haben, setzt MuddyWater Ransomware als Ablenkungsmanöver ein. Diese Ransomware verschlüsselt Dateien auf dem System und hinterlässt eine Lösegeldforderung. Dies veranlasst das Sicherheitsteam der Organisation, den Vorfall als typischen Cyberkriminalitätsfall einzustufen. Während alle Ressourcen auf die Lösung der Ransomware-Krise konzentriert sind, verwischen die Angreifer ihre Spuren, und der eigentliche Datendiebstahl bleibt möglicherweise unbemerkt oder wird zu spät entdeckt.

Wer sind die betroffenen Benutzer?

Direkt von diesem Angriff betroffen sind die Mitarbeiter der Zielorganisationen. Personal mit privilegierten Konten, wie IT-Manager, Systemadministratoren, Führungskräfte und Ingenieure mit Zugang zu sensiblen Projekten, sind Hauptziele. Da sich der Phishing-Angriff jedoch auf eine breitere Gruppe von Mitarbeitern ausweiten kann, ist jeder Microsoft Teams-Benutzer in der Organisation ein potenzielles Opfer.

Was sollten Sie tun?

Sowohl einzelne Benutzer als auch Organisationen müssen proaktive Maßnahmen gegen solche fortschrittlichen Bedrohungen ergreifen:

• Für Benutzer: Seien Sie äußerst skeptisch gegenüber unerwarteten Dateien und Links, die Sie über Microsoft Teams oder andere Kollaborationsplattformen erhalten. Aktivieren Sie die Multi-Faktor-Authentifizierung (MFA) für alle Ihre Konten. Wenn Sie verdächtige Aktivitäten bemerken, melden Sie diese sofort Ihrer IT-Sicherheitsabteilung. Es ist auch eine gute Praxis, regelmäßig mit einer zuverlässigen Datenleck Suche zu überprüfen, ob Ihre E-Mail-Adresse von anderen Datenlecks betroffen war.
• Für Organisationen: Führen Sie regelmäßige Schulungen zum Thema Cybersicherheit für Mitarbeiter durch, die sich auf Phishing-Angriffe auf Plattformen wie Teams konzentrieren. Implementieren Sie strenge Sicherheitsrichtlinien für die Dateifreigabe in Microsoft Teams. Überwachen Sie den Netzwerkverkehr auf anomale ausgehende Datenströme. Verwenden Sie EDR-Lösungen, um verdächtige Prozesse zu erkennen und zu blockieren. Aktualisieren Sie Ihren Plan zur Reaktion auf Vorfälle, um Szenarien zu berücksichtigen, bei denen ein scheinbarer Ransomware-Angriff tatsächlich eine Spionageaktivität einer APT-Gruppe sein könnte.

Stellungnahme des Unternehmens

Obwohl Microsoft noch keine offizielle Erklärung zu dieser speziellen Kampagne abgegeben hat, erklärt das Unternehmen kontinuierlich, dass es an der Verbesserung der Sicherheit der Teams-Plattform arbeitet. Cybersicherheitsfirmen beobachten diese neuen Taktiken von MuddyWater genau und veröffentlichen technische Analyseberichte, um Organisationen zu informieren. Für Organisationen ist es von entscheidender Bedeutung, die Warnungen ihrer Sicherheitsanbieter und offiziellen Cybersicherheitsbehörden zu beachten.

Kaynak

https://thehackernews.com/2026/05/muddywater-uses-microsoft-teams-to.html