Atacantes utilizan estafas de soporte técnico en Microsoft Teams para desplegar malware y ransomware

black and brown bridge bridge — Alejandro Luengo / Unsplash

Investigadores de ciberseguridad han alertado sobre un patrón recurrente de ingeniería social en cientos de casos donde actores de amenazas utilizan la función de creación de chats externos de Microsoft Teams para realizar estafas de suplantación de identidad o entregar malware.

Arctic Wolf Labs informó que ha surgido un comportamiento consistente entre estos incidentes, que incluye el uso de los mismos inquilinos desechables, los mismos nombres de pantalla de Soporte Técnico Interno, las mismas herramientas de acceso remoto y, cada vez más, los mismos dominios de carga útil.

Los ataques emplean nombres de pantalla con temática de tecnología de la información o nombres propios que suenan amigables para evadir las advertencias de usuarios externos en Teams. Estas identidades se establecen mediante inquilinos de Microsoft 365 recién creados o adquiridos. Entre el 30 y el 40 por ciento de los casos investigados involucran el uso de dominios onmicrosoft.com, que se hacen pasar por infraestructura de soporte técnico para ganar credibilidad.

En muchos casos, estas sesiones de Teams son precedidas por un bombardeo de correos electrónicos, inundando la bandeja de entrada de la víctima con cientos de confirmaciones de suscripciones o boletines. Esta táctica busca generar una falsa sensación de urgencia para que el mensaje de soporte técnico de Teams, que llega poco después, parezca una solución al problema.

Los atacantes han comenzado a añadir el nombre de la empresa o el dominio de la organización objetivo en sus nombres de pantalla. Además, se ha observado un cambio hacia dominios de nivel superior pagados, donde aproximadamente el 50 por ciento de las identidades falsas utilizaron el dominio .top, el 40 por ciento el dominio .com y poco más del 5 por ciento dominios multinivel como .com.pl.com.vn y .com.br.

Esta actividad coincide con la de STAC4749, quien tiene un historial de crear dominios en la nube con temática de soporte técnico bajo el dominio .top. Según Sophos, estos ataques han resultado en el despliegue del ransomware Chaos.

Las operaciones se dirigen a organizaciones con acceso externo habilitado y utilizan el vishing para engañar a las víctimas y obtener acceso directo al teclado mediante herramientas legítimas de gestión y monitoreo remoto, tales como Quick Assist, AnyDesk, ScreenConnect, TeamViewer, Atera, Zoho Assist, NetSupport y LogMeIn.

El acceso remoto se utiliza para realizar reconocimientos, entregar cargas útiles adicionales como la puerta trasera GoGRPC, facilitar el movimiento lateral hacia controladores de dominio y desplegar otras herramientas de gestión remota como Level para redundancia, antes de exfiltrar datos sensibles y ejecutar el binario del ransomware.

En algunos casos, los atacantes utilizaron las notas de Microsoft para evitar pegar enlaces directamente en Teams, lo que activaría el escaneo de Safe Links o ZAP. En un incidente, el atacante instruyó al usuario para ejecutar un comando de PowerShell que descargaba un instalador MSI desde Microsoft Azure Blob Storage. Este instalador ejecuta un script de PowerShell que extrae un implante de Python, el cual realiza consultas LDAP al Active Directory sobre objetos de usuario y computadora para transmitir la información a un servidor externo.