Der moderne Trickbetrug im Unternehmen
Phishing klingt nach einem alten Hut? Denk nochmal! Die neueste Welle an Fake-IT-Support-Attacken zeigt: Ein harmloser Klick in einer unscheinbaren E-Mail – und schon klingelt das Telefon mit „freundlicher Hilfe“ von angeblichen Tech-Supportern. Was wie Support klingt, ist in Wahrheit der Anfang eines gezielten Angriffs auf dein Unternehmen. In jüngster Zeit mussten fünf Firmen leidvoll erfahren, wie ein solcher kombinierter Angriff mit Spam, Social Engineering und dem Havoc-C2-Framework zu massiven Schäden führen kann. Besonders kleine und mittlere Unternehmen, denen häufig dedizierte Security-Teams fehlen, stehen im Fadenkreuz der Angreifer.
So arbeiten moderne Cyberkriminelle: Von Spam-Mail bis Datenklau
Die Gefahren sind so real wie nie: Anfang 2026 dokumentierte das Cybersecurity-Team von Huntress, wie Angreifer erst via Spam-Mails, dann mit Anrufen ein mehrstufiges Malware-System aktivierten. Ziel ist häufig die Datenexfiltration oder Vorbereitung eines Ransomware-Angriffs. In besonders kritischen Fällen haben Hacker gerade mal elf Stunden gebraucht, um von einem kompromittierten Rechner auf neun weitere Endgeräte zuzugreifen – eine beängstigende Geschwindigkeit für jeden IT-Admin.
Weitere Insights dazu liefert der Artikel von The Hacker News.
Step-by-Step: Wie läuft die Fake-Support-Attacke ab?
Die Masche startet nicht im Darknet, sondern im Outlook-Postfach deiner Mitarbeitenden. Spam-Mails täuschen Probleme beim Spamfilter oder bei der Anmeldung an. Ein Klick auf einen Link führt angeblich zu einer Microsoft-Seite, welche tatsächlich auf AWS gehostet und zur Passwortabfrage dient. Jetzt schlägt das Command-and-Control-Framework Havoc zu – ein Open-Source-Tool für Remote-Zugriff, das Cyberkriminelle gezielt modifizieren.
Sobald der „Anti-Spam-Patch“ heruntergeladen wird, kapert eine legitime Windows-Datei wie „Werfault.exe“ mittels bösartiger DLL den Rechner. Besonders tricky: Der Schadcode nutzt fortschrittliche Techniken wie HellsGate, um gängige EDR-Tools auszutricksen und unentdeckt zu bleiben.
Neue Tricks: Persistenz und Unsichtbarkeit
Die Angreifer haben ihre Hausaufgaben gemacht: Sie sichern den Zugriff durch geplante Tasks oder nutzen legitime Remote-Monitoring-Tools wie Level RMM und XEOX. Wer denkt, ein abgeschalteter C2-Server reicht als Gegenmaßnahme, irrt – durch einen Registry-basierten Fallback-Mechanismus (eine echte Innovation!) holt sich die Malware neue Adressen direkt aus der Windows-Registry, sollte der alte Server wegfallen. Dieser Kniff taucht so im Standard-Havoc gar nicht auf und zeigt, wie ausgeklügelt heutige Angreifer operieren.
Details zu dieser Technik findest du beispielsweise beim AlphaHunt Blog.
ClickFix-Phishing: Phishing für Fortgeschrittene
Die nächste Evolutionsstufe? ClickFix-Phishing. Hier erhältst du E-Mails mit HTML-Anhang, der vorgeblich einen Fehler (z. B. 0x8004de86) anzeigt – die Lösung sei ein PowerShell-Befehl, den das Opfer aus der Zwischenablage einfügen „muss“. Doch dieser Befehl lädt dann ein Skript von einer SharePoint-Site, das sich über die Microsoft Graph API mit dem Command-and-Control-Server austauscht. Sämtliche Datenübertragungen werden dazu noch AES-256-verschlüsselt, was eine Detektion erheblich erschwert.
Mehr dazu liest du bei SCWorld.
Was diese Zahlen wirklich bedeuten
Die Popularität der Havoc-Frameworks explodiert förmlich, wie Infosecurity Magazine und Huntress berichten. Besonders APT-Gruppen (Advanced Persistent Threats) und klassische Cybercrime-Gangs setzen auf solche modulare Tools, weil sie sich anpassen lassen und legitime Cloud-Dienste wie SharePoint oder AWS ausnutzen. Seit 2025 sehen Branchenbeobachter exponentielles Wachstum an Havoc-Aktivitäten und ähnlich modularen C2-Frameworks. Die Bedrohung ist skalierbar – und betrifft dich spätestens, wenn das nächste Spam-Mail im Postfach landet.
Einblicke dazu liefert auch der Artikel von PC Magazin/PCgo.
KMU: Warum ihr besonders aufpassen müsst!
Kleine und mittlere Unternehmen stehen ganz oben auf der Liste der Angreifer – und das ist kein Zufall. Es fehlen oft dedizierte IT-Teams, Security-Delegates oder eine knallharte Awareness-Kultur. Die Jagd nach Effizienz im Tagesgeschäft wird da schnell zum Bumerang, wenn technischer Fake-Support die Infrastruktur kompromittiert. Tools wie legitime RMM-Programme beschleunigen das weitere Vordringen der Angreifer enorm, zumal detektierte Attacken oft erst nach erfolgtem Schaden sichtbar werden.
Siehst du hier Handlungsbedarf für dein Team? Dann check unbedingt unsere Callout-Marketing-Leistungen – Awareness und moderne Prävention beginnen genau hier!
Angreifer lieben legale Cloud-Dienste
Cyberkriminelle verstecken ihre Aktivitäten gerne hinter bekannten Diensten, um gängige Sicherheitsmechanismen zu unterlaufen. Sharing-Plattformen und Cloud-Services wie AWS oder Microsoft SharePoint sind deshalb so beliebt wie gefährlich: Sie genießen ein Grundvertrauen, das von Angreifern gnadenlos ausgenutzt wird. Experten wie Eric Schwake von Salt Security und Berichte von Infosecurity Magazine sowie Big Data Insider empfehlen, Monitoring und PowerShell-Einschränkungen zur Routine zu machen.
Abwehr leicht gemacht: So schützt du dich jetzt!
Die Tools der Angreifer werden immer ausgeklügelter, aber auch dein Schutz muss nicht kompliziert sein. Starte bei regelmäßigen Phishing-Trainings für deine Mitarbeiter und sensibilisiere sie für moderne Tech-Support-Scams sowie ClickFix-Attacken. Technisch hilft es, PowerShell-Befehle einzuschränken, ungewöhnliche Dateien in SharePoint zu überwachen und die Endpoint-Detection-and-Response-Stack zu optimieren. Auch ein mehrstufiges E-Mail-Gateway gegen Attachments mit HTML oder suspekte Spam-Lures gehört zum Basis-Setup. Und denk immer an Backups – am besten nach der 3-2-1-Regel!
Advanced Detection und Response: Die Must-Haves für dein Unternehmen
Auch mit begrenztem Budget kannst du auf moderne Security-Tools setzen: Plattformen wie Microsoft Defender ATP oder Managed-Detection-and-Response-Services à la Huntress erhöhen die Widerstandskraft von KMU erheblich. Incident-Response-Pläne sorgen für schnelle Reaktionen im Fall der Fälle und verhindern, dass Angreifer so tief vordringen wie in den beschriebenen Attacken. Wer regelmäßig Security-Checkups und Awareness-Workshops macht, bleibt resilient und schützt das, was zählt: die Zukunft des Unternehmens.
Hier unterstützen wir von Impulsrausch Kommunikation dabei, IT- und Vertriebs-Teams sicher, wach und innovativ zu halten!
Fazit: Digitaler Schutz ist Chefsache – und du hast es in der Hand
Fazit: Cyberkriminelle demokratisieren ihre Tools und Angriffswege – aber mit passenden Awareness-Kampagnen, technischen Schutzmechanismen und cleveren Prozessen bist du klar im Vorteil. Die aktuellen Trends zeigen: Wer jetzt investiert, spart später hohe Kosten und lange Recovery-Zeiten. Achte auf Multichannel-Awareness, EDR-Updates, Cloud-Monitoring und trainiere dein Team auf die neuen Tricks der Angreifer. Im Zweifel: Lieber einmal zu viel nachfragen als einmal zu wenig reagieren.
Detaillierte Analysen und Strategie-Tipps bieten übrigens auch Oreata AI und Soc Defenders.
