सुरक्षा · 29 अक्टूबर 2026
हमलावर मैलवेयर और रैनसमवेयर फैलाने के लिए Microsoft Teams आईटी सहायता घोटालों का उपयोग कर रहे हैं
साइबर सुरक्षा शोधकर्ताओं ने सैकड़ों मामलों में एक बार-बार दोहराए जाने वाले सामाजिक इंजीनियरिंग पैटर्न की पहचान की है, जिसमें हमलावर मैलवेयर पहुंचाने या प्रतिरूपण घोटालों को अंजाम देने के लिए Microsoft Teams की बाहरी चैट निर्माण सुविधा का उपयोग कर रहे हैं।
Arctic Wolf Labs ने बताया कि इन घटनाओं में हमलावरों के व्यवहार में एक निरंतरता देखी गई है। इसमें एक ही तरह के अस्थायी टेनेंट्स, 'आईटी सपोर्ट (इंटरनल)' जैसे प्रदर्शन नाम, समान रिमोट-एक्सेस टूल और समान पेलोड डोमेन का उपयोग किया जा रहा है। बाहरी उपयोगकर्ता चेतावनियों को दरकिनार करने के लिए आईटी-थीम वाले नामों या मित्रवत नामों का उपयोग किया जाता है। ये संदेश नए बनाए गए या अधिग्रहित Microsoft 365 टेनेंट्स के माध्यम से भेजे जाते हैं।
जांच किए गए मामलों में लगभग 30 से 40 प्रतिशत मामलों में *.onmicrosoft[.]com डोमेन का उपयोग किया गया, जो Microsoft 365 टेनेंट बनाते समय स्वचालित रूप से उत्पन्न होता है। हमलावर विश्वसनीयता बढ़ाने के लिए टेनेंट नाम के रूप में सहायता डेस्क या सपोर्ट से संबंधित शब्दों का चयन करते हैं। हाल के समय में, हमलावरों ने संदेशों को अधिक वैध दिखाने के लिए प्रदर्शन नाम में लक्षित संगठन का डोमेन या कंपनी का नाम जोड़ना शुरू कर दिया है।
इन हमलों में अक्सर मेल बॉम्बिंग का उपयोग किया जाता है, जहां पीड़ित के इनबॉक्स को बड़ी संख्या में न्यूज़लेटर या सदस्यता पुष्टियों से भर दिया जाता है। इसके तुरंत बाद आईटी सहायता का संदेश आता है, जिससे पीड़ित में तात्कालिकता की भावना पैदा होती है। भुगतान किए गए डोमेन के मामले में, लगभग 50 प्रतिशत नकली पहचानों ने .top डोमेन का उपयोग किया, 40 प्रतिशत ने .com का और 5 प्रतिशत से अधिक ने .com.pl.com.vn और .com.br जैसे बहु-स्तरीय डोमेन का उपयोग किया।
यह गतिविधि STAC4749 समूह से मेल खाती है, जिसने .top डोमेन के तहत आईटी-थीम वाले क्लाउड डोमेन बनाए हैं। Sophos के अनुसार, इन हमलों के कारण Chaos रैनसमवेयर तैनात किया गया है। हमलावर Quick Assist, AnyDesk, ScreenConnect, TeamViewer, Atera, Zoho Assist, NetSupport और LogMeIn जैसे रिमोट मॉनिटरिंग और मैनेजमेंट टूल के माध्यम से सिस्टम का एक्सेस प्राप्त करते हैं।
इस रिमोट एक्सेस का उपयोग टोही गतिविधियों, GoGRPC बैकडोर जैसे पेलोड पहुंचाने और डोमेन कंट्रोलर्स तक पहुंचने के लिए किया जाता है। संवेदनशील डेटा चोरी करने के बाद रैनसमवेयर बाइनरी डाला जाता है। कुछ मामलों में, हमलावरों ने उपयोगकर्ताओं को PowerShell कमांड चलाने का निर्देश दिया ताकि Microsoft Azure Blob Storage से एक एमएसआई इंस्टॉलर डाउनलोड किया जा सके, जो अंततः एक पायथन इम्प्लांट को निष्पादित करता है।