GoGRPC-Hintertür: Hacker nutzen Microsoft Teams für Unternehmensangriffe
Veröffentlicht am: 27.07.2026 um 20:02 Uhr | Redaktion boerse-global.de
Hacker setzen zunehmend auf raffinierte Social-Engineering-Angriffe über Microsoft Teams und Helpdesk-Tools – mit verheerenden Folgen für Unternehmen weltweit.
Seit Jahresbeginn 2026 beobachten Sicherheitsexperten eine deutliche Zunahme komplexer Angriffswellen, die auf eine perfide Mischung aus Voice-Phishing, schädlicher Fernwartungssoftware und gefälschten Updates setzen. Im Visier stehen vor allem hochrangige Mitarbeiter und Führungskräfte.
Helpdesk-Betrüger und die GoGRPC-Hintertür
Die Sicherheitsanalysten von Zscaler ThreatLabz verfolgen seit Januar 2026 eine Serie von Attacken, bei denen sich Täter als IT-Helpdesk-Mitarbeiter ausgeben. Der Angriff beginnt mit „Spam Bombing" – einer Fort von Benachrichtigungen, die das Opfer überwältigen soll. Anschließend folgt ein Anruf über Microsoft Teams. Der angebliche IT-Mitarbeiter überredet das Ziel, eine Quick-Assist-Fernsitzung zu starten.
Sobald die Verbindung steht, installieren die Angreifer eine spezialisierte Hintertür namens GoGRPC. Die Schadsoftware, die in vier Varianten (Lep, Giver, Pet, Kind) auftritt, nutzt das gRPC-Protokoll über HTTP/2 auf Port 443 zur Kommunikation mit Kommando-Servern. Sie führt Aufklärungsbefehle wie „systeminfo" und „net user" aus und sichert sich über die Windows-Registry dauerhaften Zugriff.
Operation BlueDash zielt auf Fernwartungstools
Eine parallele Kampagne namens Operation BlueDash (auch ZeroBEC) läuft seit Februar 2026. Dahinter steckt ein nigerianischer Angreifer. Die Masche: Gefälschte Microsoft-Teams-Dokumentenfreigaben locken Opfer auf eine kompromittierte Website, die wie eine offizielle Microsoft-Store-Seite aussieht. Dort sollen Nutzer ein angebliches Update herunterladen.
Angreifer nutzen immer raffiniertere Methoden, um über vermeintliche Helpdesk-Anrufe oder gefälschte Updates in Firmennetze einzudringen. Wie Sie diese psychologischen Manipulationstaktiken entlarven und Ihr Unternehmen effektiv schützen, erfahren Sie in diesem kostenlosen Anti-Phishing-Paket. In 4 Schritten zum sicheren Unternehmen: Jetzt Gratis-Leitfaden sichern
Die heruntergeladene Datei – typischerweise ein Inno-Setup-Loader – nutzt versteckte PowerShell-Skripte, um legitime Fernwartungstools wie Level RMM und ConnectWise ScreenConnect zu installieren. Da es sich um offizielle Software handelt, umgehen die Angreifer herkömmliche Sicherheitslösungen. Ähnliche Methoden wurden bereits bei Kampagnen beobachtet, die Zoom imitierten, um Tactical RMM zu verbreiten.
Kryptowährungsdiebstahl per Fake-Meeting-Einladung
Auch die mit Nordkorea verbundene Gruppe BlueNoroff – ein Ableger der berüchtigten Lazarus Group – hat ihre Taktik aktualisiert. Zwischen April und Juli 2026 identifizierten Forscher vier Varianten eines macOS-Diebstahltrojaners. Die Gruppe kontaktiert ihre Opfer über gekaperte Telegram-Accounts und lädt sie – oft handelt es sich um Gründer oder CEOs – über einen Calendly-Link zu einem Meeting ein.
Der Link führt zu einer gefälschten Zoom- oder Teams-Seite, die den Browser des Opfers nach Kryptowallet-Daten durchsucht, bevor sie die Schadsoftware ausliefert. Auf Windows-Systemen deaktiviert ein PowerShell-Loader den Microsoft Defender und stiehlt Telegram-Sitzungen. Auf macOS sammelt ein gefälschtes Installationsprogramm Chrome-Master-Keys und Keychain-Daten ein. Rund 80 Prozent der Ziele dieser Kampagne stammen aus der Krypto-Branche, 45 Prozent der Opfer haben Führungspositionen inne.
Markenimitation auf dem Vormarsch
Der Fokus auf Microsoft Teams fügt sich in einen breiteren Trend ein. Daten von Check Point für das zweite Quartal 2026 zeigen: Microsoft bleibt die am häufigsten imitierte Marke bei Phishing-Angriffen – 23 Prozent aller weltweiten Vorfälle. Auf den weiteren Plätzen folgen LinkedIn (11 Prozent), Google (6 Prozent) und Apple (6 Prozent). Erstmals tauchte in diesem Jahr auch ChatGPT in den Top Ten der imitierten Marken auf.
Da immer mehr Führungskräfte ins Visier von Cyberkriminellen geraten, wird eine proaktive Absicherung zur unternehmerischen Pflicht. Dieser kostenlose Report liefert fundierte Informationen zu aktuellen Bedrohungen und zeigt auf, wie Sie Sicherheitslücken ohne hohe Investitionen schließen. Gratis-E-Book: Cyber-Security-Bedrohungen abwenden
Doch die Angreifer beschränken sich nicht auf Software. Seit Juni 2026 zielt eine unbekannte Gruppe auf öffentliche WLAN-Zugänge in Hotels und Konferenzzentren in den USA, Indien und Saudi-Arabien. Durch manipulierte DNS-Einträge werden Geschäftsreisende auf gefälschte Microsoft-365-Anmeldeseiten umgeleitet – eine Technik, die als „Adversary-in-the-Middle" bekannt ist.
Schwachstellenausnutzung und Erpressung
Doch nicht nur soziale Manipulation ist im Spiel. Die Ransomware-Gruppe Clop nutzt seit Juni 2026 eine kritische Sicherheitslücke in den Systemen PTC Windchill und FlexPLM aus (CVE-2026-12569, CVSS-Score 9,3). Der Fehler ermöglicht Code-Ausführung ohne Authentifizierung und die Installation von Web-Shells.
Das FBI warnt zudem vor der Silent Ransom Group (SRG), die seit 2022 US-Anwaltskanzleien angreift. Die Gruppe gibt sich als IT-Support aus – sowohl online als auch persönlich vor Ort – und bringt unbemerkt Speichersticks in Unternehmenshardware unter. Der Trend ist eindeutig: Identitätsdiebstahl und Social Engineering werden zur neuen Waffe der Wahl.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
