Penyerang Gunakan Penipuan Dukungan TI Microsoft Teams untuk Menyebarkan Perangkat Lunak Berbahaya dan Ransomware

Illuminated skyscrapers and elevated highways at night in the city of Shanghai — Yiran Ding / Unsplash

Para peneliti keamanan siber memperingatkan adanya pola rekayasa sosial yang berulang dalam ratusan kasus di mana aktor ancaman menggunakan fitur pembuatan obrolan eksternal Microsoft Teams untuk melakukan penipuan penyamaran atau mengirimkan perangkat lunak berbahaya.

Arctic Wolf Labs melaporkan bahwa perilaku penyerang menunjukkan pola yang konsisten, termasuk penggunaan penyewa sementara yang sama, nama tampilan Dukungan TI Internal yang serupa, alat akses jarak jauh yang sama, dan domain muatan yang semakin sering serupa.

Serangan ini menggunakan nama tampilan bertema TI atau nama depan yang terdengar ramah untuk mengelabui peringatan pengguna eksternal di Teams. Identitas Teams tersebut dibuat melalui penyewa Microsoft 365 yang baru dibuat atau diperoleh. Sekitar 30 hingga 40 persen kasus yang diselidiki melibatkan penggunaan domain onmicrosoft.com, yang merupakan domain cadangan otomatis dari Microsoft, dengan nama penyewa bertema meja bantuan atau dukungan untuk meningkatkan kredibilitas.

Banyak kasus diawali dengan pemboman surel, di mana kotak masuk korban dibanjiri ratusan konfirmasi langganan atau buletin dalam waktu singkat. Hal ini dilakukan untuk menciptakan rasa urgensi palsu sebelum pesan dukungan TI Teams tiba untuk membantu menyelesaikan masalah tersebut. Penyerang juga mulai menambahkan nama perusahaan atau domain organisasi target pada nama tampilan mereka agar terlihat lebih sah.

Arctic Wolf mencatat adanya pergeseran menuju penggunaan domain tingkat atas berbayar untuk pembuatan penyewa. Dari domain berbayar yang diidentifikasi, sekitar 50 persen menggunakan domain .top, sekitar 40 persen menggunakan domain .com, dan sedikit di atas 5 persen menggunakan domain multi tingkat seperti .com.pl.com.vn, dan .com.br.

Aktivitas ini selaras dengan STAC4749, yang memiliki riwayat membuat domain awan bertema TI di bawah domain .top dan menggunakan nama pengguna karyawan yang masuk akal. Menurut Sophos, serangan ini telah menyebabkan penyebaran ransomware Chaos.

Target serangan adalah organisasi yang mengaktifkan akses eksternal. Penyerang menggunakan teknik vishing untuk menipu korban agar memberikan akses kendali melalui alat pemantauan dan manajemen jarak jauh yang sah, seperti Quick Assist, AnyDesk, ScreenConnect, TeamViewer, Atera, Zoho Assist, NetSupport, dan LogMeIn.

Akses jarak jauh tersebut disalahgunakan untuk melakukan pengintaian, mengirimkan muatan tambahan seperti pintu belakang GoGRPC, memfasilitasi pergerakan lateral ke pengontrol domain, dan menyebarkan alat manajemen jarak jauh tambahan seperti Level untuk redundansi, sebelum mencuri data sensitif dan memasang biner ransomware.

Dalam beberapa kasus, penyerang menggunakan catatan Microsoft dan menghindari penempelan tautan secara langsung di Teams untuk menghindari pemindaian Safe Links atau ZAP. Penyerang justru menavigasi ke muatan tersebut selama sesi jarak jauh. Dalam satu kasus, penyerang menginstruksikan pengguna untuk menjalankan perintah PowerShell guna mengunduh penginstal MSI dari Microsoft Azure Blob Storage.

Setelah penginstal dijalankan, skrip PowerShell akan mengekstrak dan mengeksekusi implan Python. Pintu belakang tersebut kemudian menjalankan transaksi MSI yang melakukan kueri LDAP ke Active Directory untuk semua objek komputer dan pengguna, lalu mengirimkan informasi tersebut ke server eksternal.