Ein kurzer Anruf, eine freundliche Stimme — und plötzlich sind alle Firmendateien verschlüsselt. Sicherheitsforscher von Sophos haben eine perfide Masche aufgedeckt: Kriminelle rufen über Microsoft Teams an, geben sich als IT-Support aus und schleusen so die Chaos-Ransomware ein. Die Kampagne läuft unter dem Namen STAC4749.
DIE MASCHE: Hilfsbereiter „Kollege“ am Telefon
Der Ablauf ist erschreckend simpel. Die Täter tarnen sich in Teams-Chats und -Anrufen als Helpdesk-Mitarbeiter und überreden Beschäftigte, ein Fernwartungs-Tool zu starten oder Software zu installieren. Genutzt werden dabei ganz legitime Werkzeuge wie Microsoft Quick Assist — genau deshalb schöpft kaum jemand Verdacht. Die meisten Anrufe dauern laut Sophos nur zwei bis zweieinhalb Minuten. Danach hat der Angreifer die Kontrolle über den Rechner.
TEMPO: In unter 17 Stunden verschlüsselt
Ist der erste Rechner gekapert, breiten sich die Angreifer im Netzwerk aus. In mindestens drei Fällen folgte die Chaos-Ransomware — in einem Vorfall war die Verschlüsselung weniger als 17 Stunden nach dem ersten Zugriff abgeschlossen. Rund 95 Prozent der beobachteten Angriffe zielten auf Firmen in Kanada und den USA, quer durch Branchen wie Dienstleistung, Fertigung, Energie und sogar Anwaltskanzleien.
So schützt du dein Team
Die gute Nachricht: Gegen diese Masche hilft vor allem Aufklärung. Vereinbare eine klare Regel: Niemand gewährt Fernzugriff nach einem unaufgeforderten Teams-Anruf — egal, wie überzeugend das Gegenüber klingt. Beschränke externe Teams-Nachrichten, sperre Quick Assist, wo es nicht gebraucht wird, und lege einen festen Rückruf-Weg für echten IT-Support fest. Im Zweifel: auflegen und den bekannten Support selbst kontaktieren.