Attaccanti utilizzano truffe di supporto informatico su Microsoft Teams per distribuire malware e ransomware

close view of busy city — Nik Shuliahin 💛💙 / Unsplash

Dei ricercatori di cybersecurity hanno segnalato un modello ricorrente di ingegneria sociale in centinaia di casi, in cui attori di minacce utilizzano la funzione di creazione di chat esterne di Microsoft Teams per condurre truffe di impersonificazione o per distribuire malware.

Secondo Arctic Wolf Labs, è emerso un comportamento costante degli attaccanti che include l'uso degli stessi tenant usa e getta, degli stessi nomi visualizzati come Supporto IT (Interno), degli stessi strumenti di accesso remoto e, in modo crescente, degli stessi domini di payload.

Gli attacchi utilizzano nomi visualizzati a tema informatico o nomi propri che suonino amichevoli per aggirare gli avvisi per gli utenti esterni in Teams. Questi messaggi provengono da identità di Teams create tramite tenant Microsoft 365 acquisiti o creati di recente. In circa il 30 o 40 percento dei casi esaminati, viene utilizzato il dominio onmicrosoft[.]com, che maschera l'infrastruttura informatica utilizzando parole legate all'assistenza o al supporto per aumentare la credibilità.

In molte occasioni, queste sessioni di Teams sono precedute da un bombardamento di e-mail, in cui la casella di posta della vittima viene inondata di centinaia di conferme di iscrizione o newsletter in breve tempo. Questo metodo serve a creare un falso senso di urgenza, facendo arrivare il messaggio di supporto IT di Teams subito dopo per risolvere il problema. Recentemente, gli attaccanti hanno iniziato ad aggiungere il nome dell'azienda o il dominio dell'organizzazione bersaglio nel proprio nome visualizzato.

Arctic Wolf ha inoltre osservato un passaggio verso l'uso di domini di primo livello a pagamento per la creazione dei tenant. Tra i domini a pagamento identificati negli ultimi mesi, circa il 50 percento delle identità false ha utilizzato il dominio .top, circa il 40 percento ha usato domini .com e poco più del 5 percento ha utilizzato domini multilivello come .com.pl.com.vn e .com.br.

L'attività è allineata a quella di STAC4749, che ha una storia di creazione di domini cloud a tema informatico sotto il dominio .top e l'uso di nomi utente plausibili. Secondo Sophos, questi attacchi hanno portato alla distribuzione del ransomware Chaos.

Le operazioni colpiscono organizzazioni con l'accesso esterno abilitato e includono elementi di vishing per convincere le vittime a concedere l'accesso tramite strumenti di gestione e monitoraggio remoto legittimi, tra cui Quick Assist, AnyDesk, ScreenConnect, TeamViewer, Atera, Zoho Assist, NetSupport e LogMeIn. L'accesso remoto viene abusato per condurre ricognizioni, distribuire payload come la backdoor GoGRPC, facilitare il movimento laterale verso i controller di dominio e distribuire altri strumenti come Level per ridondanza, prima di esfiltrare dati sensibili e installare il ransomware.

In alcuni casi, gli attaccanti hanno utilizzato le note di Microsoft per evitare di incollare URL direttamente in Teams, operazione che attiverebbe la scansione di Safe Links o ZAP. In un caso specifico, l'attaccante ha istruito l'utente a eseguire un comando PowerShell per scaricare un file installer MSI da Microsoft Azure Blob Storage. Una volta avviato, l'installer esegue uno script PowerShell che estrae ed esegue un impianto Python, il quale effettua query LDAP ad Active Directory per tutti gli oggetti utente e computer, trasmettendo poi le informazioni a un server esterno.