A0Backdoor: Neue Malware nutzt Microsoft Teams für Angriffe

Cyberkriminelle kapern Unternehmensnetzwerke über Teams-Chats und umgehen mehrstufige Sicherheitsverfahren. Besonders Finanz- und Gesundheitsbranche sind betroffen.

Eine neue Phishing-Welle nutzt Microsoft Teams als Einfallstor für die bisher unbekannte Schadsoftware A0Backdoor. Die Angreifer umgehen dabei mehrstufige Sicherheitsverfahren und kapern Unternehmensnetzwerke. Besonders Finanz- und Gesundheitssektor sind im Visier.

Vom Spam-Bombardement zur Fernwartung

Die Attacke beginnt mit einer raffinierte Ablenkung: Ein Mitarbeiter erhält binnen 45 Minuten über 3.000 Spam-Mails. Während er mit dieser Flut kämpft, meldet sich im Teams-Chat plötzlich der „IT-Support“ – in Wirklichkeit ein Angreifer. Dieser bietet Hilfe an und bittet um Freigabe von Microsoft Quick Assist, dem eingebauten Fernwartungstool von Windows.

Anzeige

Warum selbst erfahrene Mitarbeiter auf gefälschte Chef-E-Mails oder vermeintliche Support-Anfragen hereinfallen, liegt oft an raffinierten psychologischen Tricks. Dieser kostenlose Report enthüllt die aktuellen Methoden der Cyberkriminellen und zeigt, wie man sie effektiv entlarvt. Gratis Anti-Phishing-Paket für Unternehmen anfordern

Das Fatale: Weil Quick Assist ein legitimes Windows-Tool ist, lösen viele Sicherheitssysteme keinen Alarm aus. Gibt das Opfer den Zugriff frei, übernehmen die Kriminellen die vollständige Kontrolle über den Rechner. Unter dem Vorwand, das Spam-Problem zu beheben, installieren sie die eigentliche Schadsoftware.

A0Backdoor: Unsichtbare Kommunikation über DNS

Die Malware A0Backdoor tarnt sich als offizielles Microsoft-Update und nutzt eine raffinierte Tarnungstechnik: Sie kommuniziert über DNS-Mail-Exchange-Records (MX), die normalerweise für E-Mail-Weiterleitung genutzt werden. Diese Datenpakete fallen in der Flut legitimer Netzwerkaktivitäten kaum auf und umgehen so spezielle Sicherheitskontrollen.

Einmal installiert, kann A0Backdoor Systeminformationen auslesen, Befehle empfangen und sich tief im Netzwerk festsetzen. Die Malware nutzt zudem Anti-Debugging-Techniken, die Sicherheitsanalysetools zum Absturz bringen können.

EvilTokens: Das Phishing-Kit, das Zwei-Faktor-Authentifizierung aushebelt

Hinter der aktuellen Welle steht das Phishing-as-a-Service-Angebot EvilTokens, das seit Anfang April 2026 über Telegram vertrieben wird. Das Toolkit automatisiert den Diebstahl von Microsoft 365-Sitzungstokens. Diese Tokens gewähren Angreifern bis zu 90 Tage lang Zugriff auf E-Mails, SharePoint-Dateien und Teams-Chatverläufe – und machen die Zwei-Faktor-Authentifizierung (MFA) damit wirkungslos.

Sicherheitsforscher führen die Kampagne mit hoher Wahrscheinlichkeit auf die Gruppe Storm-1811 zurück, die auch mit dem berüchtigten Black Basta-Ransomware-Kollektiv in Verbindung steht. Die Fokussierung auf Finanz- und Gesundheitsunternehmen folgt der typischen Logik von Erpressungsangriffen: Diese Branchen haben sensible Daten und sind oft bereit, Lösegeld zu zahlen, um Betriebsausfälle zu vermeiden.

Anzeige

Da Cyberkriminelle gezielt Schwachstellen in der Unternehmensinfrastruktur ausnutzen, wird proaktiver Schutz ohne teure Investitionen immer wichtiger. Das Gratis-E-Book für Unternehmer enthüllt, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen erfüllen. Kostenloses E-Book zur Cyber Security herunterladen

So können sich Unternehmen schützen

Sicherheitsexperten empfehlen Unternehmen dringend, ihre Teams-Einstellungen zu überprüfen:

1. Externe Kommunikation einschränken: Deaktivieren Sie den Empfang von Nachrichten von externen Konten in Teams oder erlauben Sie ihn nur für vertraute Domains.
2. Quick Assist überwachen: Nutzt Ihr Unternehmen bereits ein professionelles Fernwartungstool, sollte die Ausführung von Quick Assist überwacht oder deaktiviert werden.
3. Conditional Access nutzen: Stellen Sie sicher, dass Anmeldungen nur von kompatiblen oder in die Unternehmens-IT eingebundenen Geräten möglich sind.
4. Mitarbeiter sensibilisieren: Schulen Sie Ihre Belegschaft zu dieser spezifischen Masche. Die interne IT wird niemals eine Spam-Flut als Vorwand nutzen, um per Teams-Chat sofortigen Fernzugriff zu verlangen.

Die Zukunft der Angriffe auf Kollaborationsplattformen

Der Fall zeigt einen klaren Trend: Angreifer verlagern ihren Fokus von E-Mails hin zu internen Kommunikationsplattformen wie Teams, Slack oder Zoom. Das Vertrauen der Nutzer in diese Tools wird gezielt ausgenutzt. Die nächste Evolutionsstufe sind Angriffe, die gestohlene Zugriffstokens und legitime Cloud-Dienste für ihre Schadkommunikation nutzen.

Für das Jahr 2026 erwarten Analysten daher verstärkte Entwicklungen bei Detektionssystemen für missbräuchliche Token-Nutzung und feinere Sicherheitseinstellungen für Kollaborationsplattformen. Der Mensch bleibt das schwächste Glied – doch mit den richtigen technischen und organisatorischen Maßnahmen lässt sich das Risiko deutlich reduzieren.