Cyberkriminelle nutzen zunehmend vertrauenswürdige Arbeitsplatzplattformen, um Sicherheitskontrollen zu umgehen, und eine neu aufgedeckte Kampagne zeigt, wie schnell sie sich Zugang zu Unternehmensumgebungen verschaffen können.
Forscher der Threat Response Unit von eSentire(TRU) kürzlich untersuchtEin Einbruch, der auf eine Organisation aus dem Rechtssektor abzielt. Die Angreifer nutzten Voice-Phishing von Microsoft Teams, um einen Mitarbeiter davon zu überzeugen, Fernzugriff über Windows Quick Assist zu gewähren.
Weniger als 20 Minuten später hatten sie Nimbus RAT bereitgestellt, einen Java-basierten Fernzugriffstrojaner, der den langfristigen Zugriff auf kompromittierte Systeme aufrechterhalten soll.
Angreifer verwandeln vertrauenswürdige Geschäftsplattformen in Einstiegspunkte
Die Operation folgte einer sorgfältig strukturierten Angriffskette. Die Angreifer überschwemmten zunächst innerhalb kurzer Zeit den Posteingang des Opfers mit mehr als 280 legitimen Abonnement-E-Mails. Die Flut an Nachrichten sorgte für Verwirrung und Dringlichkeit und erhöhte die Wahrscheinlichkeit, dass das Opfer einem späteren Kontakt vertraute, der sich als interner IT-Vertreter ausgab.
Anschließend kontaktierte der gefälschte Supportmitarbeiter den Mitarbeiter über Microsoft Teams und führte ihn durch eine Reihe von Schritten. Das Opfer startete Quick Assist und befolgte die auf Pastebin gehosteten Anweisungen, wodurch die Angreifer schließlich die Kontrolle über das Gerät übernehmen konnten.
Das endgültige Malware-Paket stammte von einem kompromittierten Microsoft 365-Mandanten, der auf SharePoint gehostet wurde. Durch die Nutzung legitimer Microsoft-Dienste ließen die Angreifer den Download vertrauenswürdig erscheinen und verringerten die Wahrscheinlichkeit, Verdacht zu erregen.
Forscher fanden heraus, dass das heruntergeladene Archiv eine schädliche Java-Datei enthielt, die mit einer OpenJDK-Laufzeitumgebung gebündelt war. Durch dieses Setup konnte die Malware auf praktisch jedem Windows-Computer ausgeführt werden, selbst wenn Java noch nicht installiert war.
Nimbus RAT versteckt sich hinter Google-Diensten
Nimbus RAT zeichnet sich dadurch aus, dass es die herkömmliche Command-and-Control-Infrastruktur vermeidet. Stattdessen kommuniziert es über Google Drive und Google Sheets, wodurch seine Netzwerkaktivität in den normalen Unternehmensverkehr integriert wird.
Die Malware ruft Anweisungen aus Dateien ab, die in von Angreifern kontrollierten Google Drive-Konten gespeichert sind, und lädt gestohlene Informationen über dieselben Dienste hoch. Da viele Unternehmen stark auf das Cloud-Ökosystem von Google angewiesen sind, kann es schwierig sein, diesen Datenverkehr zu blockieren, ohne den Geschäftsbetrieb zu beeinträchtigen.
Die Forscher stellten fest, dass Nimbus RAT eine breite Palette bösartiger Funktionen unterstützt, darunter Befehlsausführung, Dateiverwaltung, Registrierungszugriff, Screenshot-Sammlung und die Bereitstellung zusätzlicher Nutzlasten direkt im Speicher.
Die Malware umfasst außerdem zwei separate Mechanismen zum Diebstahl von Anmeldeinformationen. Eine Methode zeigt eine gefälschte Windows-Sicherheitsaufforderung an, um Benutzer zur Eingabe ihrer Passwörter zu verleiten. Der zweite nutzt die Windows-API CredUIPromptForCredentialsW, um Anmeldeinformationen direkt vom Betriebssystem zu sammeln.
Den Forschern von eSentire zufolge zielen beide Techniken darauf ab, mehrere Passworteingaben zu sammeln und so die Chancen der Angreifer zu erhöhen, an gültige Anmeldeinformationen zu gelangen.
Forscher berichten von einem Anstieg teambasierter Angriffe
Von eSentire gesammelte Daten deuten darauf hin, dass diese Kampagne Teil eines umfassenderen Trends und kein Einzelfall ist.
Das Unternehmen berichtete, innerhalb von 12 Monaten 1.540 verdächtige Microsoft Teams-Interaktionen in 172 Organisationen beobachtet zu haben. Forscher stellten einen deutlichen Anstieg der Aktivität zwischen Dezember 2025 und März 2026 fest.
Phishing-Kampagnen nehmen plattformübergreifend zu. Ein anderes Schema istZielgruppe sind Facebook-Nutzerversuchen, ihre Passwörter zu stehlen, was die vielfältigen Ziele von Social-Engineering-Angriffen verdeutlicht.
Dem Bericht zufolge gingen fast 65 Prozent der Angriffe von verfügbaren Microsoft 365-Mandanten aus, die onmicrosoft.com-Domänen nutzten. Die Angreifer gaben sich häufig als IT-Supportmitarbeiter, Helpdesk-Teams oder internes technisches Personal aus.
Die Analyse der Infrastruktur ergab wiederkehrende Muster, darunter schnelle Domain-Registrierungen, die wiederholte Nutzung von IP-Bereichen von Hosting-Anbietern und die Erstellung umfangreicher Mandanten zur Unterstützung des Kampagnenwachstums. In mehreren Fällen missbrauchten Angreifer auch kompromittierte legitime Mieter, was Phishing-Versuche noch glaubwürdiger erscheinen ließ.
Forscher warnten, dass Bedrohungsakteure jetzt während des gesamten Angriffslebenszyklus vertrauenswürdige Software-as-a-Service-Plattformen nutzen. Microsoft Teams erleichtert den Erstkontakt, SharePoint liefert Malware, Pastebin hostet Anweisungen, Quick Assist bietet Fernzugriff und Google Drive ermöglicht Befehls- und Kontrollvorgänge.
Da Unternehmen diese weit verbreiteten Dienste nicht einfach blockieren können, müssen sich die Verteidiger auf Verhaltensüberwachung und schichtübergreifende Sichtbarkeit konzentrieren. Forscher empfehlen, auf ungewöhnliche Spitzen im eingehenden E-Mail-Verkehr, verdächtige Quick Assist-Aktivitäten, unerwartete Java-Ausführung aus nicht standardmäßigen Verzeichnissen und ausgehende Verbindungen zu Google APIs zu achten, die mit anderen Indikatoren für eine Kompromittierung übereinstimmen.