Un falso "soporte de TI" en Microsoft Teams convence a los empleados de entregar el control de sus equipos

Una campaña de ingeniería social en rápida expansión está usando Microsoft Teams como puerta de entrada. Los atacantes crean tenants de Microsoft 365 disfrazados de mesa de ayuda corporativa, escriben a los empleados desde fuera de la organización y los convencen de abrir herramientas de asistencia remota. No hay ninguna vulnerabilidad de Teams de por medio. Lo que se explota es la confianza, y del primer mensaje al malware pueden pasar apenas quince minutos.

Qué está ocurriendo

El esquema se apoya en tres ingredientes que, por separado, parecen inofensivos.

Una identidad de helpdesk creíble. Los atacantes registran o adquieren tenants de Microsoft 365 y asignan a la cuenta remitente un nombre visible como "IT Support (Internal)", "IT Service Desk – Liam" o "HelpDesk Manager". Entre un tercio y un 40% de los casos vistos en los últimos meses usaban un dominio predeterminado onmicrosoft.com. El resto usaba dominios de pago, y la extensión .top representaba cerca de la mitad de ellos. Teams sigue marcando al remitente como externo, pero un nombre amable, un cargo de soporte o la etiqueta "(Internal)" suelen bastar para que el empleado ignore la advertencia.

Una avalancha de correos para crear el problema. Poco antes de iniciar el chat, la bandeja de entrada del objetivo recibe cientos de altas en boletines y correos de confirmación en cuestión de minutos. El empleado queda confundido y molesto. Entonces aparece "TI" en Teams ofreciéndose a arreglarlo. El problema fabricado da al impostor una excusa verosímil para pedir compartir pantalla, control remoto o una instalación rápida de software.

Una herramienta legítima de acceso remoto. Quick Assist fue la más utilizada, aunque también se observaron AnyDesk, ScreenConnect, TeamViewer, Zoho y otras. Como es la propia víctima quien inicia la sesión, nada se "hackea" en el sentido tradicional. Los operadores suelen abordar a varios empleados en unos cinco minutos y tienen una carga maliciosa en ejecución en quince.

Una nueva cadena de infección

En una variante documentada recientemente, el impostor hizo que el empleado abriera PowerShell y ejecutara un instalador descargado. El comando descargó un paquete MSI desde Azure Blob Storage con un script y un archivo comprimido, todo ejecutado con la cuenta de la víctima y con el Explorador de Windows como proceso padre.

Unos treinta segundos después, un script incluido en el paquete se ejecutó desde la carpeta local de datos de aplicaciones del usuario. Decodificó contenido en hexadecimal, descifró con AES una nueva etapa de PowerShell, comprobó el resultado contra un hash y la lanzó mediante un ScriptBlock. La siguiente etapa extrajo un intérprete de Python y un implante, esperó cinco segundos, inició otra transacción MSI y comenzó a consultar Active Directory en busca de objetos de equipo y de usuario. Los nombres y descripciones de cuentas recopilados se enviaron a servidores de mando y control elegidos al azar de una lista incrustada en el código.

En muchas intrusiones, los operadores instalaron además una segunda herramienta de administración remota una vez obtenido el control. Eso crea un canal de acceso paralelo capaz de sobrevivir a la eliminación del malware original.

Por qué importa

Cada paso usa elementos en los que su entorno ya confía: Teams, software de soporte firmado, almacenamiento en la nube de Microsoft y la identidad del propio usuario. El comportamiento inicial parece una sesión de soporte normal, y el tiempo entre el chat y la carga maliciosa es menor que la mayoría de los tiempos de respuesta de un ticket.

Este mismo enfoque manual se ha relacionado con fases posteriores que incluyen reconocimiento rápido, persistencia mediante claves Run y DLL side-loading, balizas HTTPS o gRPC camufladas en el tráfico del puerto 443, movimiento lateral por WinRM, Kerberoasting, exfiltración de datos con Rclone o S3 y despliegue de ransomware. Un solo chat de Teams exitoso es un primer movimiento plausible para un incidente de extorsión completo.

Los registros de auditoría también tienen lagunas. El evento inicial de creación del chat es una señal temprana útil, pero no captura toda la conversación, así que la evidencia del endpoint resulta esencial para reconstruir cómo un chat se convirtió en un compromiso.

Qué hacer

1. Endurezca el acceso externo en Teams. Pase de la federación abierta a una lista de dominios de socios de confianza. Si un área necesita de verdad chat externo abierto, aíslela y monitorícela.
2. Controle las herramientas de soporte remoto. Bloquee o someta a control de aplicaciones Quick Assist, AnyDesk, ScreenConnect, TeamViewer y similares salvo que estén aprobadas explícitamente, y genere alertas ante instalaciones nuevas.
3. Cree el hábito de verificar. Toda ayuda no solicitada, por amable que sea, debe confirmarse por un número de helpdesk conocido o por el portal de servicios. Una interfaz de chat familiar no demuestra que el remitente sea de TI interno.
4. Correlacione las señales. Avalancha de correos, un chat externo nuevo, el lanzamiento de una herramienta remota, actividad de PowerShell o MSI en contexto de usuario, enumeración de Active Directory y alertas de identidad son débiles por separado y contundentes juntas. Construya detecciones que las unan.
5. Busque los indicadores. Revise contactos de Teams procedentes de tenants onmicrosoft.com con "support", "helpdesk" o "IT" en el nombre, dominios .top registrados recientemente, dominios que imitan a una mesa de ayuda y scripts ejecutados desde una carpeta "PowershellCleaner" bajo la ruta AppData del usuario.
6. Avise a su gente. Una avalancha en la bandeja de entrada seguida de una oferta de ayuda de "TI" es un precursor conocido, no una coincidencia. Incorpore ese patrón a la formación de concienciación desde ahora.

La única forma honesta de saber si su personal entregaría el teclado a un desconocido es ponerlo a prueba. Los servicios de penetration testing de 4tify incluyen escenarios controlados de ingeniería social, como un acercamiento de "soporte de TI" por Teams, para medir cómo responde su organización y cerrar las brechas antes de que un operador real intente la misma jugada.