Microsoft Teams Vishing Ransomware in 17 Stunden

Eine Microsoft Teams vishing ransomware Kampagne hat seit Februar 2026 Dutzende nordamerikanischer Unternehmen getroffen — über zweiminütige, gefälschte IT-Support-Anrufe verschafften sich die Angreifer einen Fuß in der Tür, der im schnellsten bestätigten Fall innerhalb von 17 Stunden zur vollständigen Chaos-Ransomware-Verschlüsselung führte.

Was ist passiert

Der Sicherheitsanbieter Sophos hat die Kampagne einer finanziell motivierten Gruppe zugeordnet, die als STAC4749 geführt wird und zwischen Februar und Juni 2026 gegen Unternehmen aus Dienstleistung, Fertigung, Energie, Bauwesen, Engineering und Anwaltskanzleien (insbesondere IP-Recht) aktiv war. Die Angreifer gaben sich per Microsoft-Teams-Chat und -Anruf als interner IT-Helpdesk aus — die meisten betrügerischen Anrufe dauerten nur zwei bis zweieinhalb Minuten — und überredeten Mitarbeitende, Remote-Monitoring-und-Management-Tools (RMM) wie Quick Assist oder vergleichbare Fernzugriffssoftware zu starten.

Einmal im Netzwerk, setzte STAC4749 ein modulares Malware-Toolkit ein, das System-Discovery, Persistenz, Command Execution, Remote Access und Lateral Movement abdeckt. In mindestens drei bestätigten Fällen eskalierte dies zur vollständigen Chaos-Ransomware-Bereitstellung; der schnellste dokumentierte Fall ging vom ersten Vishing-Anruf bis zur kompletten Netzwerkverschlüsselung in unter 17 Stunden. Fast 95 % der beobachteten Opfer waren in Kanada und den USA ansässig, wobei die Technik selbst plattformbasiert und nicht regionsspezifisch ist. Diese Microsoft Teams vishing ransomware Masche benötigt keinen bösartigen Anhang und keine ausgenutzte Softwareschwachstelle — sie basiert vollständig darauf, einen Menschen zum Öffnen eines legitimen Fernzugriffstools zu bewegen.

Warum das wichtig ist

STAC4749 ist 2026 bereits der zweite eigenständige Akteur, der die standardmäßig offenen externen Kommunikationseinstellungen von Microsoft Teams als initialen Zugriffsvektor missbraucht — zuvor die iranische, MOIS-verknüpfte MuddyWater-Kampagne, über die DIESEC im Mai berichtete und die Teams-Bildschirmfreigabe nutzte, um IT-Support vorzutäuschen und MFA zu umgehen. Dass zwei unabhängige Akteure — ein staatlicher, ein finanziell motivierter — innerhalb von drei Monaten unabhängig voneinander auf dieselbe Technik kommen, deutet auf eine Konfigurationslücke der Plattform hin, nicht auf einen isolierten APT-Trick: Standardmäßig erlaubt Teams jedem externen Microsoft-365-Tenant, interne Nutzer zu kontaktieren, sofern eine Organisation dies nicht ausdrücklich einschränkt.

Für den deutschen Mittelstand ist die Zeitspanne von unter 17 Stunden zwischen Vishing-Anruf und Ransomware-Verschlüsselung die entscheidende Kennzahl. Die meisten Incident-Response-Pläne und Cyber-Versicherungsannahmen basieren noch auf Erkennungs- und Eindämmungsfenstern im Tage-Bereich, nicht im Stunden-Bereich — eine Lücke, die NIS2 mit der 24-Stunden-Frühwarnpflicht schließen sollte, allerdings nur für Organisationen, deren Erkennungstools tatsächlich so schnell reagieren können.

Was Sie jetzt tun sollten

1. Beschränken Sie im Teams Admin Center unter Benutzer → Externer Zugriff die externe Kommunikation auf eine explizite Positivliste vertrauenswürdiger Domains, statt sie für alle externen Microsoft-365-Tenants offen zu lassen — dies allein blockiert unaufgeforderte Chat- und Anrufanfragen unbekannter Organisationen.
2. Prüfen Sie: Kontrollieren Sie die Teams-Admin-Protokolle der letzten 90 Tage auf externe Chat- oder Anrufanfragen unbekannter Tenants sowie darauf, ob kurz danach von Mitarbeitenden installierte RMM-Tools (Quick Assist, AnyDesk, TeamViewer) gestartet wurden.
3. Mitigieren Sie über Endpoint-Allowlisting: Beschränken Sie, welche Fernzugriffs- und RMM-Tools überhaupt ausgeführt werden dürfen — STAC4749s schnellster Weg zur Ransomware lief vollständig über legitime, von Mitarbeitenden installierte Fernzugriffssoftware, nicht über eigene Malware.
4. Überwachen Sie: Konfigurieren Sie SIEM-Alerts für externe Teams-Anrufe von bislang unbekannten Kontakten in Kombination mit einer RMM-Tool-Installation oder -Ausführung innerhalb der folgenden Stunde — diese Kombination ist der bislang zuverlässigste Frühindikator dieser Kampagne.

Falls einer dieser Schritte noch nicht umgesetzt ist, behandeln Sie das als offene Lücke, nicht als theoretisches Risiko — die zugrunde liegende Teams-Standardeinstellung liegt in den meisten Tenants seit der Einführung unverändert offen, nicht erst seit Kurzem.

DIESEC Einschätzung

Wir sehen bei zwei unabhängigen Kampagnen 2026 dieselbe Grundursache: Unternehmen härten E-Mail gegen Phishing, lassen aber die Standardeinstellungen von Collaboration-Plattformen unangetastet — in der Annahme, „interne“ Tools würden nur interne Risiken tragen. Teams ist, wie zuvor E-Mail, standardmäßig eine vollwertige externe Kontaktfläche geworden — und Angreifer haben das schneller bemerkt, als die meisten IT-Abteilungen ihre Einstellungen angepasst haben.

Nicht sicher, ob Ihre Teams-Konfiguration für externen Zugriff und Ihre RMM-Tool-Positivliste diese Lücke tatsächlich schließen? Kontaktieren Sie DIESEC für eine schnelle Prüfung Ihrer Collaboration-Plattform-Exposition.

Quellen: Sophos | BleepingComputer
Veröffentlicht: 2026-08-04 | Kategorie: Tägliche News | ~4 Min. Lesezeit