DragonForce nutzt Microsoft Teams für versteckte Backdoor-Kommunikation
Sicherheitsforscher von Symantec und Carbon Black haben eine neue Taktik der DragonForce-Ransomware-Gruppe dokumentiert: Sie nutzen einen Custom-built Backdoor namens Backdoor.Turn, um ihre Command-and-Control (C2) Infrastruktur zu verstecken.
Verschleierung durch legitime Dienste
Das Besondere an dieser Kampagne ist die Wahl des Kommunikationskanals. Statt klassischer C2-Server setzen die Angreifer auf Microsoft Teams Relay-Infrastruktur. Das ist eine bewährte Evasionsmethode: Indem sie den Datenverkehr über einen legitimen, weit verbreiteten Enterprise-Dienst leiten, verschwindet die bösartige Kommunikation in der Masse legitimer Traffic. Teams-Traffic wird typischerweise weniger genau überwacht als verdächtige direkte Verbindungen.
Backdoor.Turn: Go-basiertes RAT
Backdoor.Turn ist in Go programmiert und fungiert als Remote Access Trojan (RAT). Das ermöglicht den Angreifern vollständige Remote-Kontrolle über infizierte Systeme – von Aufklärung über Lateral Movement bis zur Payload-Deployment. Die Wahl von Go ist pragmatisch: Die Sprache ermöglicht cross-platform Kompilierung und erzeugt statisch gelinkte Binaries, die schwerer zu analysieren sind.
Zielgruppe und Implikationen
Das dokumentierte Opfer war ein großes US-basiertes Serviceunternehmen. Das deutet darauf hin, dass DragonForce ihre Operationen professionalisiert und zielgerichteter wird. Die Kombination aus Custom-Malware, legitimen Service-Missbrauch und gut recherchierten Zielen ist typisch für reife Ransomware-Operationen.
Defensive Maßnahmen
Organisationen sollten beachten:
- Egress-Monitoring: Nicht nur eingehender, sondern auch ausgehender Teams-Traffic sollte überwacht werden
- Behavioral Analysis: Ungewöhnliche Teams API-Nutzung oder Relay-Verbindungen können Indikatoren sein
- EDR/XDR-Tools: Go-basierte Malware erfordert verhaltensbasierte Detection
- Incident Response: Ransomware-Gruppen brauchen Zeit für Aufklärung – schnelle Erkennung ist kritisch
Diese Kampagne zeigt, dass moderne Bedrohungsakteure nicht mehr nur Sicherheitslücken ausnutzen, sondern gezielt vertraute Infrastruktur für ihre Zwecke missbrauchen. Die Defense muss entsprechend mitdenken.
