Angreifer nutzen Microsoft Teams-Anrufe, um sich Zugang zu Unternehmensnetzwerken zu verschaffen
Die Kampagne stützt sich auf fingierte IT-Support-Gespräche statt auf Phishing-E-Mails und eröffnet Angreifern so einen neuen Weg in Unternehmensumgebungen.
Eine neue Voice-Phishing-Kampagne namens "Spring Ring" nutzt Microsoft Teams aus, um Mitarbeiter dazu zu verleiten, Angreifern Zugriff auf Unternehmenssysteme zu gewähren. Forscher beobachteten, dass die Kampagne zwischen Januar und April 2026 mehr als 150 Mitarbeiter in mindestens 10 Organisationen ins Visier nahm.
Im Gegensatz zu herkömmlichen Phishing-Angriffen, die auf E-Mails und bösartige Links setzen, nutzt die "Spring Ring"-Kampagne externe Microsoft Teams-Konten, die als IT-Support-Mitarbeiter getarnt sind. Angreifer initiieren Chats und Sprachanrufe und überzeugen die Opfer davon, Fernzugriffssoftware zu installieren oder gefährliche Befehle auszuführen, die unbefugten Zugriff auf ihre Geräte ermöglichen.
Die Forscher dokumentierten zwei Angriffsketten, die auf Microsoft Teams abzielten. Eine konzentrierte sich darauf, Nutzer dazu zu überreden, Fernüberwachungstools oder Malware auszuführen, während eine ausgefeiltere Variante versuchte, die Interaktionen der Opfer zu nutzen, um einen NTLM-Relay-Angriff auf einen Domänencontroller zu starten, was potenziell den Weg für eine umfassendere Kompromittierung des Netzwerks ebnet.
Die "Spring Ring"-Operation stellt eine Weiterentwicklung früherer Kampagnen dar, indem sie Vishing in den Teams-Workflow integriert. Durch diese Verlagerung wandelt sich der Angriff von einem passiven "Click-and-Harvest"-Modell zu einer Interaktion in Echtzeit. Angreifer können dann je nach den Reaktionen des Opfers ihre Strategie anpassen. Sobald die Vertrauenslücke überwunden ist, ist der Weg zu Berechtigungen auf Domänenebene über Open-Source-Tools wie PetitPotam kurz.
Warum wird Microsoft Teams zum Ziel von Cyberangriffen?
Diese Kampagne zeigt eine deutliche Verlagerung der Taktiken von Cyberkriminellen hin zu Kollaborationsplattformen wie Microsoft Teams. Die Angreifer nutzen das Vertrauen der Mitarbeiter in vertraute Arbeitswerkzeuge aus und passen ihre Social-Engineering-Techniken mithilfe von Live-Gesprächen in Echtzeit an.
Die Forscher stellten fest, dass die Angreifer zahlreiche Microsoft-365-Mandanten und Teams-Identitäten erstellt hatten, die so gestaltet waren, dass sie wie legitime Support-Mitarbeiter wirkten. Sie kombinierten überzeugende Identitäten mit wiederholten Anrufen und Nachrichten und konnten so oft Vertrauen aufbauen und die Wahrscheinlichkeit erhöhen, dass die Zielpersonen ihren Anweisungen folgten.
Was sollten Unternehmen als Nächstes tun?
Unternehmen sollten Kollaborationsplattformen wie Microsoft Teams als potenzielle Einstiegspunkte für Cyberangriffe betrachten und sicherstellen, dass Mitarbeiter geschult werden, unaufgeforderten Supportanfragen mit Skepsis zu begegnen. Die Mitarbeiter sollten darin geschult werden, jede Person, die angibt, aus der IT-Abteilung zu stammen, eigenständig zu überprüfen - insbesondere, wenn diese die Benutzer auffordert, Fernzugriffstools zu installieren, Befehle auszuführen, Authentifizierungsanfragen zu genehmigen oder sensible Informationen preiszugeben. Programme zur Sensibilisierung für Sicherheitsfragen sollten auch Voice-Phishing-Szenarien umfassen, da die "Spring Ring"-Kampagne gezeigt hat, dass Angreifer Live-Gespräche nutzen können, um Vertrauen aufzubauen und herkömmliche Phishing-Abwehrmaßnahmen zu umgehen.
Administratoren sollten die Microsoft-Teams-Einstellungen für die externe Kommunikation überprüfen, verdächtige Aktivitäten von externen Mandanten überwachen und Identitätsschutzmaßnahmen wie die Multi-Faktor-Authentifizierung und Kontrollen für privilegierten Zugriff verstärken. Sicherheitsteams sollten zudem die ungewöhnliche Nutzung von Fernverwaltungssoftware, PowerShell-Aktivitäten und Authentifizierungsereignisse überwachen, die auf einen versuchten NTLM-Relay-Angriff hindeuten könnten.