Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Ransomware gang abuses Microsoft Teams relays to hide malicious traffic
Die Ransomware-Gruppe DragonForce nutzte eine neue Malware namens „Backdoor.Turn“, um ihren Command-and-Control-Verkehr über Microsoft Teams-Relays zu verschleiern. Dies betrifft Unternehmen, die Microsoft Teams nutzen, da Angreifer so unbemerkt agieren können. Es ist entscheidend, Netzwerke auf ungewöhnlichen Teams-Verkehr zu überwachen und Sicherheitsprotokolle zu verschärfen, um solche verdeckten Angriffe zu erkennen und abzuwehren.
SecBoard-Einordnung
Diese Methode erschwert die Erkennung von bösartigem Datenverkehr erheblich, da er sich als legitimer Microsoft Teams-Verkehr tarnt. Dies kann zu einer längeren Verweildauer von Angreifern im Netzwerk führen und die Reaktion auf Vorfälle verzögern.
Realistisch schlimmster Fall: Erfolgreiche Ransomware-Infektion und Datenexfiltration, die durch die Umgehung von Sicherheitskontrollen über die Teams-Infrastruktur ermöglicht wird.
Empfehlung: Überprüfung der Netzwerk- und Endpunkterkennung auf ungewöhnlichen Datenverkehr, der die Microsoft Teams-Infrastruktur nutzt, und Implementierung von Verhaltensanalysen für den Teams-Verkehr.
Betroffen
Organisationen, die Microsoft Teams nutzen.
Prüfen
3- ▸Überprüfen Sie Ihre Netzwerk-Firewall- und Proxy-Protokolle auf ungewöhnliche Verbindungen, die von internen Hosts zu Microsoft Teams-Relay-Servern ausgehen, insbesondere wenn diese nicht mit der üblichen Teams-Nutzung korrelieren.
- ▸Stellen Sie sicher, dass Ihre Endpunkterkennungslösungen (EDR) in der Lage sind, ungewöhnliche Prozesse oder Netzwerkaktivitäten zu erkennen, die von Anwendungen wie Microsoft Teams ausgehen, die normalerweise nicht für C2-Kommunikation verwendet werden.
▸ 1 weitere▾ weniger
- ▸Validieren Sie, ob Ihre Sicherheitslösungen in der Lage sind, Anomalien im TLS-Verkehr zu erkennen, der über die Microsoft Teams-Infrastruktur läuft, auch wenn der Zielhost legitim erscheint.
Offene Punkte
4▸ anzeigen▾ ausblenden
- ▸Spezifische IP-Adressen oder Domänen der C2-Server sind nicht im Artikel genannt.
- ▸Details zur genauen Funktionsweise von 'Backdoor.Turn' sind nicht vollständig beschrieben.
- ▸Die genauen Erkennungsmerkmale (IOCs) für 'Backdoor.Turn' sind nicht im Artikel aufgeführt.
- ▸Die betroffenen Branchen oder geografischen Regionen sind nicht spezifiziert.
MITRE ATT&CK(2)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„DragonForce ransomware used a custom malware named 'Backdoor.Turn' to hide command-and-control traffic inside Microsoft Teams relay infrastructure.“
„abuses Microsoft Teams relays to hide malicious traffic“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Verlauf der Belege
Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.
- BleepingComputerKontextRansomware gang abuses Microsoft Teams relays to hide malicious traffic
- The Hacker NewsKontextDragonForce Hackers Abuse Microsoft Teams Relays to Hide Backdoor.Turn C2 Traffic
Der Vorgang wird seit 2 Tagen berichtet.
Quellen & Belege· 2 unterschiedliche Quellen
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Ausschliesslich redaktionelle Berichterstattung, keine Primaer- oder Technikquelle im Bestand.
- Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.