Lažna IT podrška preko Microsoft Teams uvodi malver i ransomware

Istraživači iz Arctic Wolf Labs opisali su obrazac koji se ponavlja u stotinama incidenata. Napadači koriste spoljne razgovore u Microsoft Teams kako bi se predstavili kao interna IT podrška i naveli zaposlene da im daju daljinski pristup.

Poruke šalju sa identiteta napravljenih u novootvorenim ili preuzetim Microsoft 365 tenantima. U 30 do 40 odsto slučajeva koriste automatski domen oblika *.onmicrosoft.com, a naziv tenanta biraju tako da liči na help desk. U novijim kampanjama dodaju naziv ciljne firme u prikazano ime. Među plaćenim domenima, oko polovine lažnih identiteta koristilo je .top domen, oko 40 odsto .com, a nešto više od pet odsto složene domene kao što su .com.pl, .com.vn i .com.br.

Napadi pogađaju organizacije u kojima je dozvoljena spoljna komunikacija preko Teams. Posle početnog razgovora napadači prelaze na telefonski poziv i traže od žrtve da im omogući pristup preko legitimnih alata za daljinsko upravljanje, među kojima su Quick Assist, AnyDesk, ScreenConnect (ConnectWise), TeamViewer, Atera, Zoho Assist, NetSupport i LogMeIn.

Zatim izviđaju mrežu, isporučuju dodatne alate kao što je GoGRPC backdoor, kreću se prema domenskim kontrolerima i iznose podatke pre nego što pokrenu ransomware. U aktivnostima povezanim sa oznakom STAC4749, prema Sophos-u, korišćen je i Chaos ransomware.

U jednom slučaju koji Arctic Wolf opisuje, napadač je naveo korisnika da preuzme i pokrene datoteku koja je zatim iz Active Directory prikupljala podatke o računarima i korisnicima i slala ih na spoljni server.

Arctic Wolf naglašava da je spoljni Teams razgovor postao efikasan ulazni vektor jer napadači zloupotrebljavaju poverenje, a ne ranjivost u softveru. Napadači obično ne šalju URL direktno u Teams, jer bi ga bezbednosne provere pregledale, već tokom daljinske sesije sami preuzimaju datoteku.

Šta uraditi - Onemogućiti ili ograničiti spoljne razgovore u Microsoft Teams, posebno ako firma ne sarađuje sa spoljnim korisnicima. - Obučiti zaposlene da ne prihvataju zahteve za daljinski pristup od nepoznatih osoba, čak i kad se predstavljaju kao IT podrška. - Pratiti zapise o spoljnim razgovorima i sumnjive zahteve za upravljanje.