Atakujący wykorzystują oszustwa wsparcia technicznego w Microsoft Teams do wdrażania złośliwego oprogramowania

city skyline during night time — Henry Chen / Unsplash

Badacze z zakresu cyberbezpieczeństwa zwrócili uwagę na powtarzający się wzorzec inżynierii społecznej, który wystąpił w setkach przypadków. Atakujący wykorzystują funkcję tworzenia zewnętrznych czatów w aplikacji Microsoft Teams, aby przeprowadzać oszustwa polegające na podszywaniu się pod inne osoby lub dostarczać złośliwe oprogramowanie.

Według Arctic Wolf Labs w incydentach tych zauważono spójne zachowania sprawców, takie jak używanie tych samych tymczasowych dzierżaw, identycznych nazw wyświetlanych jako Wsparcie IT (Wewnętrzne), tych samych narzędzi do zdalnego dostępu oraz coraz częściej tych samych domen ładunku.

Ataki opierają się na nazwach wyświetlanych związanych z informatyką lub przyjaznych imionach, co ma na celu obejście ostrzeżeń o użytkownikach zewnętrznych w Teams. Wiadomości pochodzą z tożsamości utworzonych za pomocą nowo powstałych lub nabytych dzierżaw Microsoft 365. W około 30 do 40 procent badanych przypadków wykorzystano domenę onmicrosoft.com, która jest automatycznie generowana przez Microsoft. Atakujący wybierają nazwy dzierżaw nawiązujące do biura pomocy lub wsparcia, aby zwiększyć wiarygodność.

Sesjom w Teams często towarzyszy bombardowanie poczty elektronicznej, polegające na zalaniu skrzynki ofiary setkami potwierdzeń subskrypcji lub newsletterów w krótkim czasie. Ma to wywołać poczucie pilności, po czym pojawia się wiadomość od wsparcia IT w Teams z ofertą pomocy w rozwiązaniu problemu. W nowszych wersjach ataków sprawcy dodają do nazwy wyświetlanej domenę lub nazwę firmy ofiary.

Zaobserwowano przejście na płatne domeny najwyższego poziomu przy tworzeniu dzierżaw. Około 50 procent fałszywych tożsamości korzystało z domeny .top, około 40 procent z domeny .com, a nieco ponad 5 procent z domen wielopoziomowych, takich jak .com.pl.com.vn oraz .com.br. Działalność ta jest zgodna z działaniami grupy STAC4749, która tworzy chmurowe domeny o tematyce IT pod domeną .top i używa wiarygodnych nazw użytkowników. Według Sophos ataki te doprowadziły do wdrożenia oprogramowania ransomware Chaos.

Ataki celują w organizacje z włączonym dostępem zewnętrznym i wykorzystują vishing, aby nakłonić ofiary do przyznania dostępu do komputera poprzez legalne narzędzia do zdalnego monitorowania i zarządzania, takie jak Quick Assist, AnyDesk, ScreenConnect, TeamViewer, Atera, Zoho Assist, NetSupport lub LogMeIn. Zdalny dostęp służy do rozpoznania, dostarczania dodatkowych ładunków, takich jak backdoor GoGRPC, poruszania się wewnątrz sieci do kontrolerów domeny oraz wdrażania narzędzi takich jak Level przed kradzieżą danych i uruchomieniem ransomware.

W niektórych przypadkach atakujący korzystali z notatek Microsoft, unikając wklejania adresów URL bezpośrednio do Teams, aby nie uruchomić skanowania Safe Links lub ZAP. W jednym przypadku ofiara otrzymała instrukcję uruchomienia polecenia PowerShell w celu pobrania instalatora MSI z Microsoft Azure Blob Storage. Instalator ten uruchamia skrypt PowerShell, który wyodrębnia i wykonuje implant w języku Python. Backdoor ten wykonuje zapytania LDAP do Active Directory w celu pobrania informacji o wszystkich obiektach komputerów i użytkowników, a następnie przesyła je na zewnętrzny serwer.