Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
DragonForce Hackers Abuse Microsoft Teams Relays to Hide Backdoor.Turn C2 Traffic
Die Hackergruppe DragonForce nutzt Microsoft Teams als Relay-Infrastruktur, um ihren Go-basierten RAT „Backdoor.Turn“ zu verstecken und C2-Traffic zu verschleiern. Eine große US-Dienstleistungsfirma ist betroffen. Unternehmen sollten ihre Netzwerke auf verdächtigen Traffic überwachen und Sicherheitsmaßnahmen verstärken.
SecBoard-Einordnung
Die Nutzung legitimer Microsoft Teams-Infrastruktur zur Verschleierung von C2-Verkehr macht die Erkennung für traditionelle Sicherheitslösungen schwierig. Dies kann zu einer längeren Verweildauer der Angreifer im Netzwerk führen.
Realistisch schlimmster Fall: Erfolgreiche Etablierung eines persistenten Zugangs über Backdoor.Turn, der zur Ausführung von Ransomware (DragonForce) oder anderen bösartigen Aktivitäten führen kann, ohne dass der C2-Verkehr leicht erkannt wird.
Empfehlung: Überprüfung der Netzwerkprotokolle auf ungewöhnlichen Datenverkehr, der Microsoft Teams-Relays nutzt, und Implementierung erweiterter Endpunkterkennung und -reaktion (EDR).
Betroffen
Organisationen, die Microsoft Teams nutzen und deren Netzwerkperimeter sowie Active Directory-Infrastruktur betroffen sein könnten.
Prüfen
3- ▸Überprüfen Sie die Netzwerk-Traffic-Protokolle auf ungewöhnliche Verbindungen zu Microsoft Teams-Relay-Infrastrukturen, die nicht von bekannten Teams-Clients stammen.
- ▸Stellen Sie sicher, dass Ihre EDR-Lösungen in der Lage sind, Go-basierte Binärdateien und deren Netzwerkaktivitäten zu erkennen und zu analysieren, insbesondere wenn sie versuchen, C2-Verkehr zu verschleiern.
▸ 1 weitere▾ weniger
- ▸Überprüfen Sie die Konfigurationen Ihres Netzwerkperimeters und Ihrer Active Directory-Umgebung auf Anzeichen von Kompromittierung oder ungewöhnlichen Zugriffsversuchen, die mit der Etablierung eines Backdoors in Verbindung stehen könnten.
Offene Punkte
4▸ anzeigen▾ ausblenden
- ▸Spezifische IOCs (Indicators of Compromise) für Backdoor.Turn werden im Artikel nicht genannt.
- ▸Die genauen Methoden, wie Backdoor.Turn auf Systemen installiert wird, sind nicht detailliert beschrieben.
- ▸Es werden keine spezifischen CVEs oder Exploits genannt, die von DragonForce in diesem Kontext ausgenutzt werden.
- ▸Die betroffenen Branchen oder geografischen Regionen werden im Artikel nicht spezifiziert.
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(3)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„conceal command-and-control (C2) traffic inside Microsoft Teams relay infrastructure“
„conceal command-and-control (C2) traffic inside Microsoft Teams relay infrastructure“
„custom Go-based remote access trojan (RAT) called Backdoor.Turn“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Verlauf der Belege
Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.
- BleepingComputerKontextRansomware gang abuses Microsoft Teams relays to hide malicious traffic
- The Hacker NewsKontextDragonForce Hackers Abuse Microsoft Teams Relays to Hide Backdoor.Turn C2 Traffic
Der Vorgang wird seit 2 Tagen berichtet.
Quellen & Belege· 2 unterschiedliche Quellen
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Ausschliesslich redaktionelle Berichterstattung, keine Primaer- oder Technikquelle im Bestand.
- Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.