Microsoft Threat Intelligence berichtet über eine laufende Angriffskampagne, bei der externe Kontakte in Microsoft Teams als IT- oder Helpdesk-Mitarbeiter auftreten. Ziel ist nicht eine Schwachstelle in Teams, sondern ein vertrauenswürdig wirkender Support-Ablauf: Der Benutzer wird zu einer Remote-Sitzung bewegt, danach laden Angreifer per PowerShell ein MSI-Paket nach und installieren einen Node.js-basierten Implantat-Loader. Für kleinere und mittlere Unternehmen ist das relevant, weil Microsoft konkrete Erkennungen, Hunting-Abfragen und Reaktionsschritte für Microsoft Defender XDR, Teams und Entra nennt.
Was Microsoft am 2. September 2026 beschreibt
Der Microsoft Security Blog beschreibt eine hands-on-keyboard-Kette. Ein externer Tenant startet Teams-Chat oder -Anruf unter IT- oder Helpdesk-Vorwand. Nach einer freigegebenen Remote-Sitzung wird ein MSI-Installer aus Cloud-Speicher geladen und still installiert. Das Paket legt einen portablen Node.js-Laufzeitordner und verschleierte JavaScript-Loader unter LocalAppData ab. Microsoft beobachtete anschließend Host- und Active-Directory-Reconnaissance, Bildschirmaufnahmen, weitere DLL-Ausführung über rundll32.exe und WinRM-Verbindungen Richtung Domain Controller und Zertifizierungsstellen.
Microsoft betont dabei, dass die Aktivität legitime Werkzeuge missbraucht: Teams, Remote-Support-Software, Windows Installer, Node.js und native Verwaltungsprotokolle. Genau deshalb reicht ein einzelner Malware-Treffer nicht aus. Administratoren müssen die Abfolge vom externen Kontakt bis zur späteren Bewegung im Netzwerk nachvollziehen.
Warum das für KMU spürbar ist
Die Kampagne setzt auf Situationen, die auch in Organisationen mit 10 bis 250 Arbeitsplätzen vorkommen: ein unerwarteter Supportkontakt, eine schnelle Fernwartung, ein Benutzer mit lokalem Zugriff und ein Gerät im Domänenkontext. Microsoft nennt keine Zielbranche als Einschränkung. Das Risiko liegt im Zusammenspiel aus sozialer Täuschung und berechtigten Benutzeraktionen.
Gerade kleinere IT-Teams arbeiten häufig mit kurzen Wegen: Ein Chat, ein Anruf oder eine spontane Fernwartung kann schneller wirken als ein Ticketprozess. Microsofts Analyse zeigt, warum diese Nähe abgesichert werden muss. Der kritische Moment ist nicht erst die Malware-Ausführung, sondern bereits die Entscheidung, einem externen Kontakt Kontrolle zu geben. Deshalb gehören Teams-Einstellungen, Helpdesk-Prozesse und Endpoint-Telemetrie in dieselbe Prüfung.
- Externe Teams-Kontakte wirken näher am Arbeitsalltag als klassische Phishing-Mails.
- Remote-Support-Werkzeuge können legitime Hilfe und Angreiferzugriff ähnlich aussehen lassen.
- Ein kompromittierter Domänenclient kann für AD-Abfragen und WinRM-Pivots genutzt werden.
- Node.js aus Benutzerpfaden kann auffallen, wird aber leicht als Entwickler- oder Tooling-Komponente übersehen.
Dringlichkeit: aktive Kampagne statt Terminfrist
Microsoft nennt keinen zukünftigen Migrationsstichtag. Die konkrete Handlung ist deshalb eine zeitnahe Kontroll- und Hunting-Runde. Der Beitrag enthält Advanced-Hunting-Abfragen für externe Teams-Aktivität, PowerShell-MSI-Downloads, Node.js-Ausführung aus Benutzerpfaden, Bildschirmaufnahmen über versteckte PowerShell-Kommandos und WinRM-Bewegung von nichtadministrativen Prozesskontexten. Für Microsoft Defender-Umgebungen ist das ein klarer Anlass, vorhandene Telemetrie gegen diese Muster zu prüfen.
Wenn ein Treffer vorliegt, empfiehlt Microsoft, von netzwerknahem Zugriff über den betroffenen Host auszugehen. Dazu gehört die Rotation erreichbarer Zugangsdaten, insbesondere bei domänengebundenen Geräten und privilegierten Konten.
Welche Signale Defender XDR zusammenführt
Microsoft nennt repräsentative Defender-XDR-Erkennungen über mehrere Phasen. Dazu gehören verdächtige externe Teams-Chats, mögliche IT-Support-Vishing-Aktivität nach Mail-Bombing, verdächtige URL-Klicks, PowerShell-Ausführung, stille MSI-Installation, auffälliges Node.js-Verhalten, JavaScript-Prozesse, rundll32.exe-Starts, Bildschirmaufnahmen, LDAP- und Active-Directory-Aufklärung, anomale Kontoabfragen und verdächtige WinRM-Aktivität. Damit liegt der Schwerpunkt nicht auf einem einzelnen IOC, sondern auf Korrelation.
Für die Praxis bedeutet das: Ein externer Teams-Thread, ein anschließender Remote-Prozess und ein MSI-Download müssen zeitlich zusammen betrachtet werden. Erst diese Kette macht sichtbar, ob ein vermeintlicher Supportfall zu einem internen Zugriffspfad geworden ist.
Mit Conditional Access lassen sich laut Microsoft phishingresistente Zugriffsanforderungen, MFA und verwaltete oder konforme Geräte als zusätzliche Begrenzung einsetzen. Defender for Office 365, Safe Links, ZAP, Teams-Richtlinien und externe Absenderhinweise ergänzen die Prüfung auf Kollaborationsebene.
Konkrete nächste Schritte für Administratoren
- Externe Teams-Zugriffe auf vertrauenswürdige Organisationen begrenzen und sichtbare externe Hinweise prüfen.
- Interne Helpdesk-Prüfwörter oder Rückrufwege festlegen, bevor Benutzer Remote-Zugriff freigeben.
- Microsoft-Hunting-Abfragen für Teams-Threads, MSI-Downloads, Node.js-Loader und WinRM ausführen.
- ASR-Regeln, Netzwerkschutz, Webschutz und Cloud-Delivered Protection in Defender for Endpoint prüfen.
- Remote-Support- und RMM-Werkzeuge inventarisieren, zulassen oder gezielt überwachen.
- Bei Indikatoren geplante Aufgaben, Benutzerpfade, Zugangsdaten und laterale Bewegung zusammen untersuchen.
In einem Microsoft Security Assessment lässt sich daraus ein belastbarer Prüfpunkt machen: Wird der Angriff bereits beim externen Teams-Kontakt sichtbar, oder erst nach MSI-Installation und Netzwerkbewegung?
Offizielle Microsoft-Quellen
- Microsoft Security Blog: Impersonating IT support
- Microsoft Learn: Threat analytics in Microsoft Defender XDR
Wenn Sie prüfen möchten, ob Microsoft Teams, Defender XDR und Entra diese Angriffskette in Ihrer Umgebung nachvollziehbar sichtbar machen, unterstützen wir bei einem kompakten Review Ihrer Sicherheitskonfiguration – sprechen Sie uns an.
Was bedeutet das für Ihre Umgebung?
Ordnen Sie das Thema im Kontext Ihrer Microsoft-365-Umgebung ein und legen Sie einen sinnvollen nächsten Schritt fest.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
