UNC6692 nutzt Microsoft Teams für Malware-Verteilung
Die Threat Group UNC6692 setzt auf eine bekannte Angriffsvektor: Sie missbraucht Microsoft Teams als Distributionskanal für eine neu entdeckte Malware-Suite namens "Snow". Der Ansatz kombiniert Social Engineering mit Custom-developed Malware – ein Muster, das zeigt, wie gezielt moderne Kommunikationstools infiltriert werden.
Die Snow-Malware Suite
Snow besteht aus drei Komponenten, die unterschiedliche Angriffsziele erfüllen:
Browser-Extension: Ermöglicht das Abfangen von Browserdaten und Credentials. Diese Art von Extension wird oft mit geringeren Schutzmaßnahmen wahrgenommen als traditionelle Malware.
Tunneler: Baut verschlüsselte Verbindungen zu Command-and-Control-Servern auf und ermöglicht damit Datenexfiltration und Remote-Kommunikation.
Backdoor: Verschafft dem Angreifer persistenten Zugriff auf infizierte Systeme und ermöglicht weitere Malware-Installation.
Angriffsvektor: Vertrauen ausnutzen
Der Missbrauch von Microsoft Teams ist strategisch sinnvoll. Das Tool ist in vielen Unternehmen installiert, wird vertraut und ist oft weniger intensiv überwacht als externe Mail-Systeme. Social-Engineering-Nachrichten über Teams wirken glaubwürdiger – besonders wenn sie von kompromittierten internen Accounts stammen.
Implikationen für Sicherheit
Dieser Angriff unterstreicht mehrere aktuelle Sicherheitstrends:
- Legitimate-Tool-Missbrauch: Angreifer bevorzugen echte, vertraute Software statt offensichtlicher Malware
- Supply-Chain-Denken: Teams ist oft Teil der Unternehmensinfrastruktur – eine attraktive Angriffsfläche
- Custom-Malware wird häufiger: Maßgeschneiderte Tools wie Snow entgehen eher Antivirus-Erkennungen als Standard-Malware
Was Unternehmen tun können
Die Verteidigungslinie muss auf mehreren Ebenen laufen: Mitarbeiter-Training zu Social Engineering, Netzwerk-Segmentierung, regelmäßige Browser-Extension-Audits und Monitoring von Teams-Aktivitäten. Browser-Isolation und strikte Privilege-Management-Richtlinien reduzieren das Risiko zusätzlich.
Der Snow-Fall zeigt: Die gefährlichsten Malware-Kampagnen nutzen nicht exotische Techniken, sondern das, was bereits in der Infrastruktur existiert.