Microsoft-Teams-Imitationsanrufe zur Verbreitung der EtherRAT-Malware eingesetzt

Sicherheitsforscher berichten, dass Angreifer Microsoft-Teams-Sprachanrufe missbrauchen, um sich als interne IT-Mitarbeiter auszugeben und Beschäftigte zur Installation von Fernzugriffssoftware zu bewegen – eine Taktik, die mit der Bereitstellung der EtherRAT-Malware auf Unternehmenssystemen enden kann.

Die von Palo Alto Networks Unit 42 beschriebene Kampagne kombiniert mehrere bekannte Elemente: eine Phishing-E-Mail, einen gefälschten Helpdesk-Anruf, legitime Tools zur Fernverwaltung und einen eigens entwickelten Malware-Loader. Der anfängliche Köder ist eine E-Mail, die sich auf eine Mitarbeiterumfrage bezieht und eine schädliche PDF-Datei enthält. Nachdem das Dokument geöffnet wurde, erhält das Ziel einen Teams-Anruf von einem externen Konto, dessen Inhaber behauptet, als Systemadministrator Unterstützung leisten zu wollen.

Die Forscher stellten fest, dass der Anrufer in Teams mit einem Warnhinweis für externe Benutzer angezeigt wurde. Dies deutet darauf hin, dass das Konto zu einem anderen Microsoft-365-Tenant gehörte. Bei der von Unit 42 untersuchten Aktivität verwendete der Angreifer das Konto helpdesk@Progressive936.onmicrosoft[.]com und gab vor, dem Opfer zu helfen.

So läuft der Eindringversuch ab

Sobald das Ziel dazu gebracht wurde, über die Bildschirmfreigabe in Teams die Kontrolle zu teilen, weist der Angreifer den Benutzer an, legitime Fernzugriffstools wie HopToDesk und AnyDesk zu installieren. Dieser Schritt verschafft dem Angreifer direkten Zugriff auf den Rechner und lässt die Sitzung zugleich routinemäßig erscheinen.

Anschließend lädt der Angreifer ein schädliches MSI-Paket von einer externen Website herunter. Das Installationsprogramm fungiert als Loader, der eine Node.js-Laufzeitumgebung abruft, eingebettete Komponenten entschlüsselt und EtherRAT startet. Die Malware ist in Node.js geschrieben und darauf ausgelegt, weitreichende Kontrolle über infizierte Systeme zu ermöglichen, darunter die Ausführung von Befehlen, Dateimanipulation, Persistenz und Datendiebstahl.

Unit 42 fand außerdem Hinweise darauf, dass die Malware-Infrastruktur aktiv gepflegt wird. Dazu gehören mehrere Versionen des Installationsprogramms, die in einem offenen Verzeichnis gespeichert waren. EtherRAT war zuvor bereits bei staatlich unterstützten Aktivitäten im Zusammenhang mit der Ausnutzung der React2Shell-Schwachstelle aufgetaucht und wurde inzwischen von weiteren Bedrohungsakteuren wiederverwendet.

Die Erkenntnisse folgen einem breiteren Trend, bei dem Angreifer Kollaborationsplattformen ausnutzen, um sich Zugang zu Organisationen zu verschaffen. Microsoft hat vor Kurzem zusätzliche Warnungen für externe Teams-Kontakte und neue Kontrollen eingeführt, die das Risiko von Identitätsvortäuschung und unbefugtem Zugriff verringern sollen.

Für Sicherheitsverantwortliche ist die Kampagne eine weitere Erinnerung daran, dass Social Engineering und legitime Administrationswerkzeuge kombiniert werden können, um herkömmliche Sicherheitsgrenzen zu umgehen. Benutzer darin zu schulen, unerwartete Supportanfragen über separate Kommunikationskanäle zu verifizieren, bleibt eine wichtige Schutzmaßnahme.