Was ist passiert?
Cyberkriminelle der DragonForce-Ransomware-Gruppe nutzen einen maßgeschneiderten Go-basierten Remote Access Trojan namens Backdoor.Turn, um ihre Command-and-Control-Kommunikation in der Microsoft Teams-Relay-Infrastruktur zu verschleiern. Sicherheitsforscher von Symantec und Carbon Black (beide Broadcom) haben diese Anschlagsmethode bei einem großen US-amerikanischen Dienstleistungsunternehmen dokumentiert. Die Taktik ermöglicht es den Angreifern, ihre Befehle unentdeckt zu übermitteln und dabei legitime, vertraute Cloud-Dienste als Deckmantel zu missbrauchen.
Hintergrund & Bedeutung
Die Nutzung von Microsoft Teams als C2-Kanal ist ein neuer Trend in der Cyberkriminalität. Teams gilt als legitimes Business-Tool und wird von den meisten Firewalls vertraut – ideal für Angreifer, um ihre bösartigen Aktivitäten zu tarnen. Backdoor.Turn ermöglicht vollständigen Remote-Zugriff auf kompromittierte Systeme, was Datendiebstahl, Lateral Movement und Ransomware-Deployment vereinfacht. Diese Vorgehensweise erschwert die Detektion erheblich, da legitimer Cloud-Traffic schwer von malicious Traffic zu unterscheiden ist.
Empfehlungen für IT-Teams
Sofortmaßnahmen:
- Microsoft Teams-Traffic tiefer inspizieren (Deep Packet Inspection)
- Ungewöhnliche Teams-Relay-Verbindungen überwachen und protokollieren
- Endpoint Detection and Response (EDR) Lösungen aktivieren und aktualisieren
- Regelmäßige Vulnerability-Scans und Penetrationstests durchführen
- Mitarbeiterschulungen zu Phishing und verdächtigen Dateitypen intensivieren
Fazit
Der Missbrauch vertrauter Cloud-Services wie Microsoft Teams unterstreicht die wachsende Raffinesse von Ransomware-Gruppen. Unternehmen müssen ihre Überwachungsstrategien umdenken und nicht nur externe, sondern auch interne Cloud-Kommunikation kritisch prüfen.
Quelle: Original Artikel