Atacantes utilizam golpes de suporte de TI no Microsoft Teams para implantar malware e ransomware

panoramic photography of tall concrete buildings — Pang Yuhao / Unsplash

Pesquisadores de segurança cibernética alertaram sobre um padrão recorrente de engenharia social em centenas de casos onde agentes de ameaça utilizam o recurso de criação de chat externo do Microsoft Teams para realizar golpes de personificação ou entregar malware.

A Arctic Wolf Labs relatou que surgiu um comportamento consistente dos atacantes, que utilizam os mesmos locatários descartáveis, nomes de exibição como "Suporte de TI (Interno)", as mesmas ferramentas de acesso remoto e, cada vez mais, os mesmos domínios de carga útil.

As mensagens originam-se de identidades do Teams estabelecidas por meio de locatários do Microsoft 365 recém-criados ou adquiridos. Entre 30% e 40% dos casos investigados envolvem o uso de domínios onmicrosoft.com, que são gerados automaticamente pela Microsoft. Os atacantes escolhem nomes de locatários com temas de suporte ou central de ajuda para aumentar a credibilidade e subverter avisos de usuários externos.

Em muitos casos, as sessões do Teams são precedidas por bombardeio de e-mail, inundando a caixa de entrada da vítima com centenas de confirmações de assinatura para criar urgência. Recentemente, os criminosos passaram a adicionar o nome da empresa ou o domínio da organização alvo ao nome de exibição. Houve também uma mudança para domínios de nível superior pagos, onde cerca de 50% das identidades falsas usaram o domínio .top, 40% usaram .com e pouco mais de 5% usaram domínios multinível como .com.br.com.vn e .com.pl.

A atividade está alinhada ao grupo STAC4749, que possui histórico de criar domínios de nuvem com tema de TI. Segundo a Sophos, esses ataques levaram à implantação do ransomware Chaos. Os alvos são organizações com acesso externo habilitado, utilizando também técnicas de vishing para convencer as vítimas a conceder acesso remoto via ferramentas como AnyDesk, TeamViewer, Quick Assist, ScreenConnect, Zoho Assist, Atera, NetSupport e LogMeIn.

O acesso remoto é abusado para realizar reconhecimento, entregar cargas úteis como o backdoor GoGRPC, facilitar a movimentação lateral para controladores de domínio e implantar a ferramenta Level para redundância, antes de exfiltrar dados e instalar o ransomware. Em alguns casos, os atacantes usaram as notas da Microsoft ou instruíram o usuário a executar um comando PowerShell para baixar um instalador MSI do Microsoft Azure Blob Storage. Esse instalador executa um script PowerShell que extrai um implante Python, que por sua vez realiza consultas LDAP ao Active Directory para transmitir informações de usuários e computadores para um servidor externo.