Gefälschte Microsoft-Teams-Anrufe vom IT-Support verbreiten EtherRAT-Malware

Sicherheitsforscher berichten, dass Angreifer Microsoft Teams missbrauchen, um sich als Helpdesk-Mitarbeiter auszugeben und Beschäftigte davon zu überzeugen, ihnen Fernzugriff zu gewähren, was zur Installation von Malware auf den Geräten der Opfer führt.

Laut Unit 42 von Palo Alto Networks beginnt die Kampagne mit einer Phishing-E-Mail, die als Mitarbeiterumfrage getarnt ist. Auf diese Nachricht folgt ein Teams-Anruf von einer Person, die behauptet, vom IT-Support zu sein. Während des Gesprächs wird das Ziel dazu gebracht, eine Fernsteuerungssitzung zu akzeptieren und legitime Tools für die Remote-Administration wie HopToDesk oder AnyDesk zu installieren. In der letzten Phase lädt der Angreifer ein MSI-Paket herunter, das den Remote-Access-Trojaner EtherRAT installiert.

Der Unit-42-Forscher Brian Janower erklärte, dass Protokolle aus einem Fall eine Sitzung mit dem Titel „System Administrator (External unfamiliar) | Microsoft Teams“ zeigten. Dies deutet darauf hin, dass der Kontakt von außerhalb der Organisation kam und keine etablierte Vertrauensbeziehung bestand. Auch die Teams-Auditaufzeichnungen zeigten, dass von einem vom Angreifer kontrollierten Konto ein organisationsübergreifender Einzelchat initiiert wurde.

EtherRAT ist ein auf Node.js basierender RAT, der unter Windows, Linux und macOS ausgeführt werden kann. Nach der Installation gewährt er einem Angreifer weitreichenden Zugriff auf ein kompromittiertes System, einschließlich der Möglichkeit, Befehle auszuführen, Dateien zu verschieben, Informationen zu stehlen und den Zugriff dauerhaft aufrechtzuerhalten.

Die Malware verwendet außerdem eine ungewöhnliche Methode, um ihre Command-and-Control-Infrastruktur zu finden. Statt sich vollständig auf feste Adressen zu verlassen, ruft EtherRAT den Standort eines aktiven Servers aus einem Ethereum-Smart-Contract ab. Falls der primäre Ansatz fehlschlägt, steht eine Fallback-Domain zur Verfügung.

Wonach Verteidiger Ausschau halten sollten

• Unerwartete Teams-Chats oder -Anrufe von externen Konten, deren Nutzer behaupten, zum IT-Personal zu gehören
• Aufforderungen, während einer Helpdesk-Interaktion Fernwartungssoftware zu installieren
• Dateien, deren Namen mit CtrlVirtualCursorWin_* beginnen und die Teams während Fernsteuerungssitzungen möglicherweise erstellt
• MSI-Installationsprogramme, die nach einer Anfrage für Fernsupport auftauchen

Die Forscher entdeckten außerdem offenbar ein frei zugängliches Verzeichnis mit EtherRAT-Samples, die mit den Versionen 1 bis 9 gekennzeichnet waren. Einige Dateien wurden noch am 26. Juni aktualisiert. Dies deutet darauf hin, dass die Betreiber hinter der Malware sie weiterhin aktiv pflegen.

Die Kampagne ist Teil eines breiteren Trends, bei dem Bedrohungsakteure Kollaborationstools nutzen, um Vertrauen zu gewinnen und die üblichen Maßnahmen zur Sensibilisierung für Sicherheit zu umgehen. In diesem Fall wird Microsoft Teams zu Beginn des Eindringens nicht direkt angegriffen, sondern als Kanal für Social Engineering genutzt, der den Zugang eröffnet.