Cisco Talos hat mehrere Fälle untersucht, in denen sich Angreifer als IT-Helpdesk ausgaben. Sie nutzten Telefon, E-Mail und Teams und liessen Opfer Fernzugriff gewähren. Ein Fall endete mit der Ransomware VYPR. Die Täter suchten irgendeinen Mitarbeitenden, nicht gezielt Admins oder Chefs.
Inhalt 8 Abschnitte
Im dritten Quartal 2026 reichten Angreifern oft Name und Mailadresse, um per Fernzugriff ins Firmennetz zu kommen. Cisco Talos hat mehrere solcher Fälle untersucht, einer endete mit Ransomware. Dieser Beitrag zeigt, wie die Täter vorgingen und was Firmen daraus ableiten können.
Das Wichtigste in Kürze
- Angreifer gaben sich als IT-Helpdesk aus. Sie meldeten sich per Telefon, E-Mail und Microsoft Teams bei Mitarbeitenden.
- Ein Fall endete mit Ransomware. Der Zugang lief über eine Quick-Assist-Sitzung, danach folgte die Schadsoftware VYPR.
- Die Opfer waren nicht nur Chefs und Admins. Die Täter suchten irgendeinen Mitarbeitenden, der auf den Trick hereinfällt.
- Basiswissen genügte. Laut Talos gibt es keine Belege für tiefe Recherche über Firma oder Opfer.
Wie sich Täter als IT-Helpdesk ausgaben
Cisco Talos Incident Response hat das Muster in mehreren Einsätzen festgestellt. Die Hauptquelle ist ein Bericht von Help Net Security, veröffentlicht am 30. Oktober 2026. Die Angreifer kannten Namen und Mailadressen der Angestellten. Sie schrieben die Leute direkt per E-Mail und Teams an. Dabei nutzten sie Identitäten, die echtem Helpdesk-Personal ähnelten.
Aliza Johnson, Forscherin bei Cisco Talos, beschreibt es so: Die Täter hatten wohl ein breites, allgemeines Wissen darüber, wie IT-Support abläuft. Sie führten ihre Opfer erfolgreich in Teams-Sitzungen und zum Fernzugriff. Sie kannten gängige Firmenwerkzeuge wie Quick Assist. Tiefes Wissen über einzelne Firmen oder Personen sah Talos jedoch nicht.
Vishing trifft jeden, nicht nur Admins
Die angerufenen Personen unterschieden sich stark, auch innerhalb derselben Firma. Talos schliesst daraus, dass die Täter jeden anvisierten, der sich überlisten lässt. Gezielt nach Personen mit besonderen Rechten suchten sie nicht.
Deshalb greifen Schutzmassnahmen zu kurz, die sich nur auf Administratoren und Geschäftsleitung konzentrieren. Viele der erreichten Mitarbeitenden gehören nicht dazu.
Talos beschreibt zwei Fälle, die opportunistisch wirken:
- Ein Opfer rief selbst eine falsche Support-Nummer an. Sie stammte aus einem allgemeinen Betrugs-Popup im Browser, das die Firma des Opfers nicht imitierte. Danach gewährte es dem Täter Fernzugriff.
- In einem anderen Fall verschickte der Angreifer zwei Phishing-Wellen. Vermutlich rechnete er damit, dass mindestens ein Ziel hereinfällt.
Der VYPR-Fall im Detail
Bei einem Einsatz mit der Ransomware VYPR löste ein Anruf den Angriff aus. Der Täter brachte einen Mitarbeitenden dazu, eine Quick-Assist-Sitzung von Microsoft zu starten. Was der Anrufer sagte, konnte Talos nicht bestätigen.
Danach liefen auf einem bereits im Netz vorhandenen Fernwartungsprogramm PowerShell-Befehle. Diese luden ein Installationspaket von einer fremden IP-Adresse und installierten es. Talos stuft VYPR als neue Ransomware ein, die noch unausgereift arbeitet.
| Merkmal | Befund | Einordnung |
|---|---|---|
Code-Basis |
Älterer, geleakter Conti-Code, kaum verändert |
Kein Neubau, aber trotzdem wirksam |
EDR-Umgehung |
Fehlerhafte, aber vertrauenswürdige Treiber (Bring your own vulnerable driver) |
Zugriff auf Kernel-Ebene, die Täter luden ungewöhnlich viele Treiber |
Datenabfluss |
Über mehrere Tage |
Talos sieht das bei Ransomware selten |
Leak-Seite |
Erst nach Ende des Einsatzes eingerichtet |
Zeigt die operative Unreife der Gruppe |
Schlüsselbund auf dem Mac
Auf einem separaten macOS-Gerät fand Talos einen weiteren Angriff. Das Gerät war über eine manipulierte Anwendung infiziert. Die Täter durchsuchten per Skript den Schlüsselbund, den eingebauten Passwortspeicher des Macs. Sie suchten nach Zugangsdaten des KI-Assistenten Claude Code von Anthropic. Mehr Details nennt der vorliegende Quelltext nicht.
Einordnung: Was das für Firmen in der Schweiz heisst
Der Bericht zeigt Anfang Oktober 2026 ein klares Bild: Wer im Betrieb Fernzugriff erlaubt, braucht dafür feste Regeln. Admins sollten festlegen, wer Quick Assist und ähnliche Werkzeuge starten darf. Mitarbeitende müssen wissen, dass Teams-Anfragen und Anrufe von angeblichem Support gefälscht sein können. Die Schulung gehört an alle, nicht nur an Technik und Führung. Konkrete Kosten oder Fristen nennt die Quelle nicht. Unklar bleibt auch, ob Firmen in der Schweiz betroffen waren.
Fazit
Du weisst jetzt, wie einfach die Täter vorgingen: Name, Mailadresse, ein glaubwürdiger Anruf. Prüfe als nächsten Schritt, wer in deiner Firma Fernzugriffs-Sitzungen starten darf. Lege fest, wie echter Support sich ausweist. Weitere Hintergründe liefert der Bericht von Help Net Security. Die Aussagen von Talos stammen von Aliza Johnson.
Quellen: Help Net Security. Foto: Rodrigo_SalomonHC / Pixabay. Stand: 1. November 2026.
Geschrieben von der Redaktion · Freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.