Falso "suporte de TI" no Microsoft Teams convence funcionários a entregar o controlo dos seus computadores

Uma campanha de engenharia social em rápida expansão está a usar o Microsoft Teams como porta de entrada. Os atacantes criam tenants do Microsoft 365 disfarçados de helpdesk corporativo, enviam mensagens a funcionários a partir de fora da organização e convencem-nos a abrir ferramentas de assistência remota. Não há nenhuma vulnerabilidade do Teams envolvida. O que se explora é a confiança, e da primeira mensagem ao malware podem passar apenas quinze minutos.

O que está a acontecer

O esquema assenta em três ingredientes que, isoladamente, parecem inofensivos.

Uma identidade de helpdesk credível. Os atacantes registam ou adquirem tenants do Microsoft 365 e atribuem à conta remetente um nome de apresentação como "IT Support (Internal)", "IT Service Desk – Liam" ou "HelpDesk Manager". Entre um terço e 40% dos casos observados nos últimos meses usavam um domínio predefinido onmicrosoft.com. Os restantes usavam domínios pagos, com a extensão .top a representar cerca de metade. O Teams continua a assinalar o remetente como externo, mas um nome simpático, um cargo de suporte ou a etiqueta "(Internal)" chegam muitas vezes para que o funcionário ignore o aviso.

Uma inundação de e-mails para criar o problema. Pouco antes de a conversa começar, a caixa de entrada do alvo recebe centenas de inscrições em newsletters e e-mails de confirmação em poucos minutos. O funcionário fica confuso e irritado. Depois aparece o "TI" no Teams a oferecer-se para resolver. O problema fabricado dá ao impostor um motivo plausível para pedir partilha de ecrã, controlo remoto ou uma instalação rápida de software.

Uma ferramenta legítima de acesso remoto. O Quick Assist foi a ferramenta mais usada, mas também foram observados AnyDesk, ScreenConnect, TeamViewer, Zoho e outras. Como é a própria vítima que inicia a sessão, nada é "pirateado" no sentido tradicional. Os operadores costumam abordar vários funcionários em cerca de cinco minutos e têm uma carga maliciosa em execução ao fim de quinze.

Uma nova cadeia de infeção

Numa variante documentada recentemente, o impostor levou o funcionário a abrir o PowerShell e a executar um instalador descarregado. O comando obteve um pacote MSI a partir do Azure Blob Storage, com um script e um arquivo comprimido, tudo executado com a conta da vítima e com o Explorador do Windows como processo pai.

Cerca de trinta segundos depois, um script incluído no pacote correu a partir da pasta local de dados de aplicações do utilizador. Descodificou conteúdo em hexadecimal, decifrou com AES uma nova etapa de PowerShell, verificou o resultado contra um hash e lançou-a através de um ScriptBlock. A etapa seguinte extraiu um interpretador Python e um implante, esperou cinco segundos, iniciou outra transação MSI e começou a consultar o Active Directory em busca de objetos de computador e de utilizador. Os nomes e descrições de contas recolhidos foram enviados para servidores de comando e controlo escolhidos aleatoriamente de uma lista embutida no código.

Em muitas intrusões, os operadores instalaram ainda uma segunda ferramenta de gestão remota depois de obterem o controlo. Isso cria um canal de acesso paralelo capaz de sobreviver à remoção do malware original.

Porque é que isto importa

Cada passo usa elementos em que o seu ambiente já confia: o Teams, software de suporte assinado, armazenamento na nuvem da Microsoft e a identidade do próprio utilizador. O comportamento inicial parece uma sessão de suporte normal, e o tempo entre a conversa e a carga maliciosa é inferior à maioria dos tempos de resposta a um pedido de suporte.

A mesma abordagem manual tem sido associada a fases posteriores que incluem reconhecimento rápido, persistência por chaves Run e DLL side-loading, beacons HTTPS ou gRPC camuflados no tráfego da porta 443, movimento lateral por WinRM, Kerberoasting, exfiltração de dados via Rclone ou S3 e implantação de ransomware. Uma única conversa bem-sucedida no Teams é um primeiro passo plausível para um incidente de extorsão em grande escala.

Os registos de auditoria também têm lacunas. O evento inicial de criação da conversa é um sinal precoce útil, mas não capta toda a troca de mensagens, pelo que a evidência do endpoint se torna essencial para reconstruir como uma conversa se transformou num comprometimento.

O que fazer

1. Restrinja o acesso externo no Teams. Passe da federação aberta para uma lista de domínios parceiros de confiança. Se uma área precisar mesmo de chat externo aberto, isole-a e monitorize-a.
2. Controle as ferramentas de suporte remoto. Bloqueie ou sujeite a controlo de aplicações o Quick Assist, AnyDesk, ScreenConnect, TeamViewer e semelhantes, salvo aprovação explícita, e gere alertas para novas instalações.
3. Crie o hábito de verificar. Qualquer ajuda não solicitada, por mais simpática que seja, deve ser confirmada através de um número de helpdesk conhecido ou do portal de serviços. Uma interface de chat familiar não prova que o remetente seja do TI interno.
4. Correlacione os sinais. Inundação de e-mails, uma nova conversa externa, o arranque de uma ferramenta remota, atividade PowerShell ou MSI em contexto de utilizador, enumeração do Active Directory e alertas de identidade são fracos isoladamente e fortes em conjunto. Construa deteções que os liguem.
5. Procure os indicadores. Verifique contactos do Teams vindos de tenants onmicrosoft.com com "support", "helpdesk" ou "IT" no nome, domínios .top registados recentemente, domínios que imitam um helpdesk e scripts executados a partir de uma pasta "PowershellCleaner" no caminho AppData do utilizador.
6. Avise as pessoas. Uma inundação na caixa de entrada seguida de uma oferta de ajuda do "TI" é um precursor conhecido, não uma coincidência. Inclua esse padrão na formação de sensibilização desde já.

A única forma honesta de saber se a sua equipa entregaria o teclado a um desconhecido é testá-lo. Os serviços de penetration testing da 4tify incluem cenários controlados de engenharia social, como uma abordagem de "suporte de TI" pelo Teams, para medir a reação da organização e fechar as falhas antes que um operador real tente a mesma jogada.