Black Basta greift über MS-Teams-Chats an – Source: www.csoonline.com

Ink Drop – Shutterstock.com

Die berüchtigte Ransomware-Gruppe Black Basta hat es auf Organisationen weltweit abgesehen. Bisher war die Bande dafür bekannt, ihre Opfer zunächst mit Spam-E-Mails zu überhäufen. Anschließend gaben sich die Hacker als IT-Support aus, um sich Zugriff auf die Systeme zu verschaffen. Diese Methode wurde jetzt offenbar weiterentwickelt.

Sicherheitsforscher von ReliaQuest haben kürzlich herausgefunden, dass Black Basta nun Microsoft Teams-Chatnachrichten verwendet, um potenzielle Opfer in Gespräche zu verwickeln. Auch bei dieser Methode tarnen sich die Angreifer als Helpdesk-Mitarbeiter. Laut Forschungsbericht erfolgt die Kontaktaufnahme teilweise über Einladungen zu MS Teams-Gruppenchats.

In den Chats verleiten die Kriminellen dann die Anwender dazu, QR-Codes anzuklicken, die auf eine betrügerische Website führen. Die Betrugsseiten sind dabei auf die betreffende Zielorganisation zugeschnitten und häufig nur durch eine genaue Prüfung der Subdomain von echten Unternehmensseiten zu unterscheiden.

Ziel der Angreifer ist es, so die Forscher, MS-Teams-Benutzer dazu zu bringen, Tools für Remote-Überwachung und -Verwaltung (RMM) herunterzuladen und Zugriff auf die Zielumgebung zu erhalten.

Schutz vor MS-Teams-Angriffen

Um sich vor diesen Angriffen zu schützen, empfiehlt ReliaQuest folgende Maßnahmen:

• Unternehmen sollten die Kommunikation von externen Benutzern innerhalb von Teams deaktivieren.  Auf diese Weise lässt sich verhindern, dass unerwünschte Chat-Nachrichten die Endbenutzer erreichen.
• Wenn die Kommunikation mit externen Benutzern erforderlich ist, können bestimmte vertrauenswürdige Domänen auf eine Positivliste gesetzt werden. Darüber hinaus kann die Einrichtung aggressiver Anti-Spam-Richtlinien in E-Mail-Sicherheits-Tools verhindern, dass Spam die Posteingänge der Endbenutzer überschwemmt.
• Stellen Sie sicher, dass die Protokollierung für Teams aktiviert ist, insbesondere für das Ereignis „ChatCreated“, um derartige Aktivitäten leichter erkennen und untersuchen zu können.
• Bei der Suche nach diesen Helpdesk-Konten sollten Organisationen nach „enthält“ und nicht nach einer direkten Übereinstimmung suchen.