Eine professionelle Hackergruppe missbraucht aktuell Microsoft Teams, um sich als IT-Support auszugeben und so Zugangsdaten zu stehlen. Laut Analyse zielt die von Google Mandiant als UNC6692 bezeichnete Gruppe auf Social Engineering ab, die gezielte Manipulation von Menschen. Die Angreifer starten mit "E-Mail-Bombing", also einer Welle von Spam-Mails, und melden sich anschließend über Teams scheinbar als IT-Helpdesk.  

Unter dem Vorwand eines "Anti-Spam-Patches" drängen sie Nutzer zum Klick auf einen Link. Statt eines Sicherheitsupdates startet jedoch ein sogenannter Dropper, also ein Einschleusprogramm. Dieser ruft AutoHotkey-Skripte auf, die wiederum eine manipulierte Browser-Erweiterung nachladen und Schadsoftware installieren.

Damit der Datenverkehr nicht auffällt, kommt zusätzlich "SnowGlaze" zum Einsatz und verschleiert die Verbindung zu den Hintermännern. So können Angreifer lange die Kontrolle behalten, ohne entdeckt zu werden. 

Es zeigt sich ein Trend: Attacken starten oft nicht mehr mit klassischen Phishing-Mails, sondern über Tools wie Microsoft Teams. Scheinbar reale Support-Chats werden von vielen Menschen als vertrauenswürdiger wahrgenommen als eine unerwartete E-Mail.

Nach Angaben des BSI verfügen viele moderne Schadprogramme über Fernsteuerungsfunktionen und können weitere Schadsoftware nachladen. So lassen sich nahezu alle internetfähigen Geräte kompromittieren. Umso wichtiger ist es, Sicherheitsupdates zeitnah zu installieren, nur vertrauenswürdige Quellen für Software zu nutzen und Links oder "Hilfetools" auch in Unternehmenschats kritisch zu prüfen.