„Suport IT” fals pe Microsoft Teams convinge angajații să predea controlul calculatoarelor

O campanie de inginerie socială în plină desfășurare folosește Microsoft Teams ca ușă de intrare. Atacatorii își creează tenant-uri Microsoft 365 deghizate în departamente de suport, scriu angajaților din afara organizației și îi conving să pornească instrumente de asistență la distanță. Nu este exploatată nicio vulnerabilitate din Teams. Se exploatează încrederea, iar de la primul mesaj până la malware pot trece doar vreo cincisprezece minute.

Ce se întâmplă

Schema se bazează pe trei ingrediente care, luate separat, par inofensive.

O identitate credibilă de helpdesk. Atacatorii înregistrează sau obțin tenant-uri Microsoft 365 și dau contului expeditor un nume de afișare de tipul „IT Support (Internal)”, „IT Service Desk – Liam” sau „HelpDesk Manager”. Aproximativ o treime până la 40% dintre cazurile observate în ultimele luni foloseau un domeniu implicit onmicrosoft.com. Restul foloseau domenii plătite, extensia .top reprezentând cam jumătate dintre acestea. Teams marchează în continuare expeditorul ca extern, dar un prenume prietenos, un titlu de suport sau eticheta „(Internal)” sunt adesea suficiente ca angajatul să ignore avertismentul.

Un potop de e-mailuri care creează problema. Cu puțin timp înainte de conversație, căsuța poștală a țintei este inundată cu sute de înscrieri la newslettere și e-mailuri de confirmare, în câteva minute. Angajatul este derutat și iritat. Apoi „IT-ul” apare pe Teams și se oferă să rezolve. Problema fabricată îi dă impostorului un motiv plauzibil să ceară partajarea ecranului, control de la distanță sau instalarea rapidă a unui program.

Un instrument legitim de acces la distanță. Quick Assist a fost cel mai des folosit, dar au fost observate și AnyDesk, ScreenConnect, TeamViewer, Zoho și altele. Pentru că victima pornește singură sesiunea, nimic nu este „spart” în sensul clasic. Operatorii abordează de obicei mai mulți angajați în circa cinci minute și au un payload în execuție în cincisprezece.

Un nou lanț de infectare

Într-o variantă documentată recent, impostorul a pus angajatul să deschidă PowerShell și să ruleze un installer descărcat. Comanda a adus un pachet MSI din Azure Blob Storage, conținând un script și o arhivă comprimată, totul executat sub contul victimei, cu Windows Explorer ca proces părinte.

După aproximativ treizeci de secunde, un script inclus în pachet a rulat din folderul local de date al aplicațiilor utilizatorului. Acesta a decodat conținut hexazecimal, a decriptat cu AES o nouă etapă PowerShell, a verificat rezultatul printr-un hash și a lansat etapa printr-un ScriptBlock. Următoarea etapă a extras un interpretor Python și un implant, a așteptat cinci secunde, a pornit o nouă tranzacție MSI și a început să interogheze Active Directory pentru obiecte de tip computer și utilizator. Numele și descrierile conturilor colectate au fost trimise către servere de comandă și control alese aleatoriu dintr-o listă încorporată în cod.

În multe intruziuni, operatorii au instalat și un al doilea instrument de administrare la distanță odată ce au preluat controlul. Astfel apare un canal paralel de acces, care poate supraviețui eliminării malware-ului inițial.

De ce contează

Fiecare pas folosește lucruri în care mediul tău are deja încredere: Teams, software de suport semnat digital, stocarea în cloud-ul Microsoft și identitatea utilizatorului. Comportamentul inițial arată ca o sesiune normală de suport, iar timpul dintre conversație și payload este mai scurt decât majoritatea timpilor de răspuns la tichete.

Aceeași abordare „cu mâinile pe tastatură” a fost asociată cu etape ulterioare care includ recunoaștere rapidă, persistență prin chei Run și DLL side-loading, beacon-uri HTTPS sau gRPC camuflate în traficul de pe portul 443, mișcare laterală prin WinRM, Kerberoasting, exfiltrare de date prin Rclone sau S3 și instalare de ransomware. O singură conversație reușită pe Teams este o deschidere plauzibilă pentru un incident de extorcare la scară largă.

Și jurnalele de audit au lacune. Evenimentul inițial de creare a conversației este un semnal timpuriu util, dar nu surprinde toată discuția, așa că dovezile de pe endpoint devin esențiale când reconstruiești cum o conversație s-a transformat într-o compromitere.

Ce este de făcut

1. Restrânge accesul extern în Teams. Treci de la federare deschisă la o listă de domenii partenere de încredere. Dacă un departament chiar are nevoie de chat extern deschis, izolează-l și monitorizează-l.
2. Controlează instrumentele de suport la distanță. Blochează sau pune sub control aplicativ Quick Assist, AnyDesk, ScreenConnect, TeamViewer și altele similare, dacă nu sunt aprobate explicit, și generează alerte la instalări noi.
3. Creează un reflex de verificare. Orice ajutor nesolicitat, oricât de prietenos, trebuie confirmat printr-un număr cunoscut al helpdesk-ului sau prin portalul de servicii. O interfață de chat familiară nu dovedește că expeditorul este din IT-ul intern.
4. Corelează semnalele. Potopul de e-mailuri, o nouă conversație externă, lansarea unui instrument de acces la distanță, activitate PowerShell sau MSI în contextul utilizatorului, enumerarea Active Directory și alertele de identitate sunt slabe separat și puternice împreună. Construiește detecții care le leagă.
5. Caută indicatorii. Urmărește contacte Teams din tenant-uri onmicrosoft.com cu „support”, „helpdesk” sau „IT” în nume, domenii .top înregistrate recent, domenii care imită un helpdesk și scripturi rulate dintr-un folder „PowershellCleaner” din calea AppData a utilizatorului.
6. Spune-le oamenilor. Un potop în inbox urmat de o ofertă de ajutor din partea „IT-ului” este un precursor cunoscut, nu o coincidență. Include acest tipar în instruirea de conștientizare chiar acum.

Singurul mod sincer de a afla dacă angajații tăi ar preda tastatura unui străin este să testezi. Angajamentele de penetration testing ale 4tify includ scenarii controlate de inginerie socială, cum ar fi o abordare de tip „suport IT” pe Teams, ca să măsori cum reacționează organizația și să închizi breșele înainte ca un operator real să încerce aceeași mișcare.