Безопасность · 29 октября 2026 г.
Также опубликовано на 中文, हिन्दी, Türkçe, Polski, Indonesia, ไทย, Nederlands, العربية, Español, Italiano, Deutsch, Português (Brasil)
Злоумышленники используют мошенничество с техподдержкой в Microsoft Teams для распространения вредоносного ПО
Исследователи в области кибербезопасности обнаружили повторяющуюся схему социальной инженерии, которая встречается в сотнях случаев. Злоумышленники используют функцию создания внешних чатов в Microsoft Teams для проведения мошенничества с имитацией личности или доставки вредоносного программного обеспечения.
В ходе инцидентов наблюдается единообразное поведение атакующих. Они используют одни и те же временные арендаторы, одинаковые отображаемые имена, такие как «IT Support (Internal)», одни и те же инструменты удаленного доступа и все чаще одни и те же домены полезной нагрузки.
Для обхода предупреждений о внешних пользователях в Teams применяются имена, связанные с ИТ, или дружелюбные личные имена. Сообщения отправляются из учетных записей, созданных через новые или приобретенные арендаторы Microsoft 365. В 30-40 процентах исследованных случаев используются домены onmicrosoft.com, которые автоматически генерируются при создании арендатора. Чтобы повысить доверие, в именах таких арендаторов используются слова, связанные со службой поддержки или справочным центром.
Многие атаки начинаются с почтового бомбинга, когда почтовый ящик жертвы заваливают сотнями подтверждений подписок или рассылок. Это создает ложное чувство срочности, после чего вскоре приходит сообщение в Teams от якобы службы ИТ-поддержки, предлагающей помочь решить проблему. В последнее время атакующие добавляют в свои имена домен или название организации жертвы для придания легитимности.
Отмечается переход к использованию платных доменов верхнего уровня. Около 50 процентов поддельных личностей использовали домен .top, примерно 40 процентов использовали стандартный домен .com, и чуть более 5 процентов использовали многоуровневые домены, такие как .com.pl.com.vn и .com.br. Эта деятельность совпадает с действиями группы STAC4749. По данным Sophos, такие атаки приводили к развертыванию программы-вымогателя Chaos.
Целями становятся организации, в которых разрешен внешний доступ. Злоумышленники используют вишинг, чтобы убедить жертв предоставить удаленный доступ через легитимные инструменты управления, такие как Quick Assist, AnyDesk, ScreenConnect, TeamViewer, Atera, Zoho Assist, NetSupport и LogMeIn. Этот доступ используется для разведки, доставки бэкдора GoGRPC, перемещения к контроллерам домена и развертывания дополнительных инструментов, таких как Level, перед кражей данных и запуском вымогателя.
В некоторых случаях использовались заметки Microsoft. Чтобы избежать сканирования ссылок, атакующие не вставляют URL напрямую в чат, а переходят по ним сами во время удаленного сеанса. В одном случае жертву заставили выполнить команду PowerShell для загрузки установщика MSI из Microsoft Azure Blob Storage. Этот установщик запускает скрипт PowerShell, который извлекает и выполняет встроенный имплант на языке Python. Затем бэкдор отправляет LDAP-запросы в Active Directory для получения данных о пользователях и компьютерах и передает их на внешний сервер.