Es wurde beobachtet, dass ein Bedrohungsakteur Vishing über Microsoft Teams einsetzt, um DarkGate-Malware zu installieren und die Fernsteuerung über das Computernetzwerk des Opfers zu übernehmen.
Trend Micro berichtet, dass sich der Angreifer bei einem MS Teams-Anruf als Mitarbeiter eines bekannten Kunden ausgab und so den Zielbenutzer dazu brachte, die Remote-Desktop-Anwendung AnyDesk herunterzuladen, die dann die Installation der DarkGate-Malware ermöglichte.
DarkGate ist eine ausgeklügelte Malware, die verschiedene bösartige Aktivitäten wie Datendiebstahl, unbefugten Zugriff und Systemkompromittierung durchführen kann. Sie kann auf zahlreiche Arten verbreitet werden und ist in der Lage, fortschrittliche Umgehungstechniken zu nutzen.
Der Fall markiert eine bemerkenswerte Entwicklung in der Art und Weise, wie DarkGate verbreitet wird. Zuvor wurde die Malware hauptsächlich durch Phishing-E-Mails, Malvertising und SEO-Poisoning verbreitet.
Angreifer gibt sich bei Teamanruf als Lieferant aus
Der Angreifer nutzte Social Engineering, um sich zunächst Zugang zum Gerät des Opfers zu verschaffen.
Die Zielperson wurde zunächst mit "mehreren Tausend E-Mails" überflutet und dann von dem Angreifer, der sich als Mitarbeiter eines externen Lieferanten ausgab, zu MS Teams gerufen.
Zunächst wurde das Opfer angewiesen, die Anwendung Microsoft Remote Support herunterzuladen. Die Installation über den Microsoft Store schlug jedoch fehl.
Der Angreifer forderte den Benutzer dann auf, AnyDesk herunterzuladen, und brachte ihn dazu, seine Anmeldedaten in die App einzugeben.
Sekunden nach dem Herunterladen der Anwendung wurde der Befehl "C:\Users\\Downloads\AnyDesk.exe" ausgeführt. Dieser Befehl startet die AnyDesk-Remote-Desktop-Anwendung als lokalen Dienst auf dem System, was bedeutet, dass sie mit erhöhten Rechten oder in minimierter/automatisierter Form ausgeführt werden kann.
Minuten später wurde cmd.exe aufgerufen, um rundll32.exe auszuführen und SafeStore.dll zu laden, die laut Trend Micro über AnyDesk.exe abgelegt wurde.
Bei der Ausführung von SafeStore.dll wurde ein Anmeldeformular zur Eingabe von Anmeldedaten aufgerufen. Selbst wenn der Benutzer keine Anmeldedaten eingab, liefen im Hintergrund mehrere bösartige Befehle, die detaillierte Informationen über das System lieferten, z. B. über dessen Konfiguration und Netzwerkschnittstellen.
Die ausführbare Datei SystemCert.exe wurde bei dem Angriff ebenfalls ausgeführt, wodurch die Dateien script.a3x und AutoIt3.exe entstanden. Diese wurden verwendet, um die Erkennung zu umgehen und das DarkGate-Skript in den Speicher zu laden und auszuführen.
Autoit3.exe führte außerdem das Skript.a3x aus, um einen Prozess in MicrosoftEdgeUpdateCore.exe einzuschleusen, der dann eine Verbindung zu einem Command-and-Control-Server herstellte.
Schließlich wurde ein PowerShell-Befehl ausgeführt, um die DarkGate-Nutzlast abzuwerfen.
Nach der Installation wurden mehrere Dateien und ein Registrierungseintrag für die Persistenz erstellt.
Der Angriff wurde aufgedeckt und verhindert, bevor es zur Datenexfiltration kam.
Wie man MS Teams Vishing-Angriffe abwehrt
Die Forscher erklärten, der Fall zeige, wie sich Social-Engineering-Angriffe weiterentwickeln. Sie wiesen darauf hin, dass Microsoft einen ähnlichen Fall dokumentiert hatte, in dem der Angreifer Vishing einsetzte, um ein Ziel dazu zu bringen, QuickAssist herunterzuladen, um Zugang zum System zu erhalten und Ransomware zu verbreiten.
Trend Micro rät Unternehmen, Maßnahmen zu ergreifen, um dieser Art von Technik zu begegnen.
- Gründliche Prüfung von Drittanbietern für technischen Support, um sicherzustellen, dass alle Behauptungen über die Zugehörigkeit des Anbieters direkt überprüft werden, bevor der Fernzugriff auf Unternehmenssysteme gewährt wird
- Whitelist für zugelassene Fernzugriffs-Tools und Blockierung nicht überprüfter Anwendungen
- Integrieren Sie die Multi-Faktor-Authentifizierung (MFA) in Tools für den Fernzugriff, um eine zusätzliche Schutzebene zu schaffen.
- Mitarbeiterschulungen zur Sensibilisierung für die Gefahren von unaufgeforderten Support-Anrufen oder Pop-ups
