Sebastian

Microsoft Threat Intelligence berichtet über eine laufende Angriffskampagne, bei der externe Kontakte in Microsoft Teams als IT- oder Helpdesk-Mitarbeiter auftreten. Ziel ist nicht eine Schwachstelle in Teams, sondern ein vertrauenswürdig wirkender Support-Ablauf: Der Benutzer wird zu einer Remote-Sitzung bewegt, danach laden Angreifer per PowerShell ein MSI-Paket nach und installieren einen Node.js-basierten Implantat-Loader. Für kleinere und … Weiterlesen

Microsoft Defender Experts verfolgt eine aktive Kampagne, bei der Angreifer gefälschte Software-Downloadseiten nutzen, um Schadsoftware über scheinbar legitime Installer zu verteilen. Für kleinere und mittlere Unternehmen ist das relevant, weil der Einstieg wie ein normaler Download aussieht: ein Browser, ein ZIP-Archiv, ein Installationsprogramm. Microsoft beschreibt aber eine Kette mit Persistenz, Manipulation von Microsoft Defender, deaktivierten … Weiterlesen

Microsoft beschreibt im Entra-Blog eine wichtige Neuerung für automatisierte Zugriffe: Zugriffstokens von Dienstprinzipalen lassen sich mit Continuous Access Evaluation schneller unwirksam machen, wenn eine Workload-Identität gesperrt, gelöscht oder als riskant erkannt wird. Für KMU ist das relevant, weil Skripte, Synchronisationen und Integrationen oft mit weitreichenden App-Berechtigungen arbeiten. Wird ein Secret oder Token missbraucht, zählt nicht … Weiterlesen

Microsoft Threat Intelligence warnt vor einer TerminalFix-Kampagne, die eine bekannte ClickFix-Taktik weiterentwickelt: Eine gefälschte Cloudflare-CAPTCHA-Seite bringt Benutzer dazu, einen kopierten Terminal-Befehl selbst auszuführen. Für kleinere und mittlere Unternehmen ist das relevant, weil der Angriff nach der ersten Ausführung nicht bei einem Infostealer stehen bleibt. Microsoft beschreibt eine mehrstufige Kette mit Sideloading, Active-Directory-Erkundung und einem Reverse … Weiterlesen