Microsoft Teams: Sophos warnt vor Ransomware-Attacken via Voice-Phishing
Veröffentlicht am: 29.07.2026 um 20:04 Uhr | Redaktion boerse-global.de
Sicherheitsforscher des IT-Sicherheitsunternehmens Sophos haben eine neue Angriffswelle identifiziert, bei der Akteure gezielt Sprachanrufe über Microsoft Teams einsetzen, um Ransomware zu verbreiten. Die Experten ordnen diese Aktivitäten der Kampagne STAC4749 zu. Dabei nutzen die Angreifer sogenanntes Voice-Phishing (Vishing), um Zugriff auf Unternehmensnetzwerke zu erhalten und schließlich die Chaos-Ransomware zu installieren.
Gezielte Angriffe auf nordamerikanische Unternehmen und Organisationen
Nach Erkenntnissen der Sicherheitsforscher konzentrierte sich die Kampagne im Zeitraum von Februar bis Juni 2026 primär auf Organisationen in Nordamerika. Die statistische Auswertung der Angriffsziele zeigt eine deutliche geografische Gewichtung: 50 % der attackierten Ziele befanden sich in Kanada, während 44 % auf die Vereinigten Staaten entfielen.
Hinsichtlich der betroffenen Branchen identifizierte Sophos eine breite Streuung, wobei der Dienstleistungssektor mit 20 % am häufigsten ins Visier geriet. Es folgten das verarbeitende Gewerbe mit 17 % sowie die Bereiche Energie und Bauwesen mit jeweils 12 %. Auch Kanzleien für geistiges Eigentum (IP Law) wurden als Ziele der Kampagne registriert.
Technischer Ablauf und schnelle Bereitstellung der Chaos-Ransomware
Der Angriffsvektor kombiniert soziale Manipulation mit technischen Fernwartungswerkzeugen. Die Akteure gaben sich in Microsoft-Teams-Anrufen als Mitarbeiter des IT-Supports aus. Die Dauer dieser Gespräche variierte laut den Analysen zwischen 90 Sekunden und 20 Minuten. Während des Telefonats wurden die Opfer dazu verleitet, Anwendungen wie Quick Assist oder RemSupp zu nutzen, um den Angreifern Fernzugriff zu gewähren.
Der aktuelle Trend zum Voice-Phishing zeigt, wie gezielt Hacker die psychologischen Schwachstellen von Mitarbeitern ausnutzen. Erfahren Sie in diesem kostenlosen Anti-Phishing-Paket, mit welchen Taktiken Angreifer operieren und wie Sie Ihr Unternehmen wirksam schützen. Die 7 häufigsten Manipulations-Tricks jetzt entlarven
Sobald der Zugriff etabliert war, setzten die Täter einen maßgeschneiderten Loader sowie eine Backdoor ein. Zur weiteren Ausbreitung im Netzwerk nutzten sie das Remote Desktop Protocol (RDP) für seitliche Bewegungen (Lateral Movement) und führten Aufklärungsmaßnahmen durch. Die Persistenz im System wurde über Registry Run Keys sichergestellt, während die Kommunikation mit dem Command-and-Control-Server (C2) über das gRPC-Protokoll erfolgte.
Die Forscher beobachteten mindestens drei erfolgreiche Bereitstellungen der Chaos-Ransomware. Ein dokumentierter Fall verdeutlicht die Geschwindigkeit der Angreifer: Von der ersten Kontaktaufnahme bis zur vollständigen Verschlüsselung der Daten vergingen weniger als 17 Stunden. Die Akteure verwendeten bei ihren Aktivitäten gefälschte Benutzernamen und Domains mit der Endung .top.
Drastischer Anstieg bei Identitätsdiebstahl und bösartigen Sprachanrufen
Die Entdeckung der STAC4749-Kampagne fällt zusammen mit besorgniserregenden Trends, die im Active Adversary Report 2026 von Sophos veröffentlicht wurden. Demnach begannen 67,32 % der untersuchten Sicherheitsvorfälle mit einer kompromittierten Identität.
Angesichts immer schnellerer Ransomware-Attacken und neuer gesetzlicher Anforderungen müssen Unternehmen ihre IT-Abwehr proaktiv verstärken. Dieses Gratis-E-Book liefert Geschäftsführern und IT-Verantwortlichen wertvolle Einblicke, um Sicherheitslücken ohne hohe Investitionen zu schließen. Kostenloses Cyber-Security E-Book herunterladen
Die Statistiken für das Jahr 2026 belegen eine signifikante Zunahme dieser Angriffsform. Die Erkennungsrate von Phishing-Versuchen über Microsoft Teams stieg von März bis April 2026 um 19 % und verzeichnete im Juni einen weiteren Zuwachs von 10 %. Besonders deutlich ist der Anstieg bei bösartigen Sprachanrufen, deren Zahl seit Beginn des Jahres 2026 um 80 % zugenommen hat.
Zur Abwehr solcher Bedrohungen empfehlen Experten den Einsatz von Phishing-resistenten Multi-Faktor-Authentifizierungen (MFA). Zudem sollten Unternehmen die Nutzung von Fernzugriffsanwendungen restriktiv handhaben und klare Prozesse zur Verifizierung von IT-Support-Anfragen etablieren.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
