תוקפים משתמשים בהונאות תמיכה טכנית ב-Microsoft Teams כדי להפיץ נוזקות ותוכנות כופר

three people collaborating in open office — LYCS Architecture / Unsplash

חוקרי אבטחת סייבר מזהירים מפני דפוס חוזר של הנדסה חברתית שבו גורמי איום משתמשים בתכונת יצירת הצ'אט החיצוני של Microsoft Teams כדי לבצע הונאות התחזות או להפיץ נוזקות. התקיפות פוגעות בארגונים שבהם הגישה החיצונית מופעלת.

לפי דוח של Arctic Wolf Labs, התוקפים משתמשים בשמות תצוגה של תמיכה טכנית פנימית או בשמות פרטיים כדי לעקוף את אזהרות המשתמש החיצוני ב-Teams. זהויות אלו נוצרות באמצעות דייר Microsoft 365 חדש או נרכש. בכמעט 30 עד 40 אחוזים מהמקרים שנבדקו נעשה שימוש בדומיין onmicrosoft.com, שנועד להיראות כתשתית טכנית כדי להגביר את האמינות.

במקרים רבים, לפני תחילת השיחות ב-Teams, הקורבנות חווים הצפת דואר אלקטרוני, שבה תיבת הדואר שלהם מוצפת במאות אישורי הרשמה לניוזלטרים בזמן קצר. פעולה זו נועדה ליצור תחושת דחיפות, כאשר הודעת התמיכה הטכנית ב-Teams מגיעה מיד לאחר מכן כדי לסייע בפתרון הבעיה. לאחרונה נצפתה מגמה של שימוש בדומיינים בתשלום, כאשר כ-50 אחוזים מהזהויות המזויפות השתמשו בסיומת top וכ-40 אחוזים בדומיין com.

התוקפים משתמשים בשיטות של הונאה קולית כדי לשכנע את הקורבנות להעניק להם גישה מרחוק באמצעות כלים לגיטימיים כמו AnyDesk, TeamViewer או Quick Assist. גישה זו מנוצלת לביצוע סיור במערכת, העברת מטען נוסף כמו דלת אחורית מסוג GoGRPC, תנועה רוחבית לבקרי דומיין והפצת תוכנת הכופר Chaos, לפי Sophos.

כדי להימנע מסריקה של קישורים בטוחים, התוקפים נמנעים מהדבקת כתובת אתר ישירות ב-Teams ומנווטים למטען בעצמם במהלך הסשן המרוחק. במקרה אחד, התוקף הנחה את המשתמש להריץ פקודת PowerShell להורדת קובץ התקנה מ-Microsoft Azure Blob Storage, שהפעיל סקריפט Python להוצאת מידע מ-Active Directory ושליחתו לשרת חיצוני.