---
title: Злоумышленники используют мошенничество с техподдержкой в Microsoft Teams для распространения вредоносного ПО
url: https://www.dataloco.com/ru/zloumyslenniki-ispolzuiut-mosennicestvo-s-texpodderzkoi-v-microsoft-teams-dlia-rasprostraneniia-vredonosnogo-po
published: 2026-10-29T11:29:07+00:00
language: ru
section: Безопасность
source: https://thehackernews.com/2026/10/attackers-use-microsoft-teams-it.html
organizations: Microsoft, Arctic Wolf Labs, Sophos
publisher: Dataloco
---

# Злоумышленники используют мошенничество с техподдержкой в Microsoft Teams для распространения вредоносного ПО

Исследователи в области кибербезопасности обнаружили повторяющуюся схему социальной инженерии, которая встречается в сотнях случаев. Злоумышленники используют функцию создания внешних чатов в Microsoft Teams для проведения мошенничества с имитацией личности или доставки вредоносного программного обеспечения.

В ходе инцидентов наблюдается единообразное поведение атакующих. Они используют одни и те же временные арендаторы, одинаковые отображаемые имена, такие как «IT Support (Internal)», одни и те же инструменты удаленного доступа и все чаще одни и те же домены полезной нагрузки.

Для обхода предупреждений о внешних пользователях в Teams применяются имена, связанные с ИТ, или дружелюбные личные имена. Сообщения отправляются из учетных записей, созданных через новые или приобретенные арендаторы Microsoft 365. В 30-40 процентах исследованных случаев используются домены onmicrosoft.com, которые автоматически генерируются при создании арендатора. Чтобы повысить доверие, в именах таких арендаторов используются слова, связанные со службой поддержки или справочным центром.

Многие атаки начинаются с почтового бомбинга, когда почтовый ящик жертвы заваливают сотнями подтверждений подписок или рассылок. Это создает ложное чувство срочности, после чего вскоре приходит сообщение в Teams от якобы службы ИТ-поддержки, предлагающей помочь решить проблему. В последнее время атакующие добавляют в свои имена домен или название организации жертвы для придания легитимности.

Отмечается переход к использованию платных доменов верхнего уровня. Около 50 процентов поддельных личностей использовали домен .top, примерно 40 процентов использовали стандартный домен .com, и чуть более 5 процентов использовали многоуровневые домены, такие как .com.pl.com.vn и .com.br. Эта деятельность совпадает с действиями группы STAC4749. По данным Sophos, такие атаки приводили к развертыванию программы-вымогателя Chaos.

Целями становятся организации, в которых разрешен внешний доступ. Злоумышленники используют вишинг, чтобы убедить жертв предоставить удаленный доступ через легитимные инструменты управления, такие как Quick Assist, AnyDesk, ScreenConnect, TeamViewer, Atera, Zoho Assist, NetSupport и LogMeIn. Этот доступ используется для разведки, доставки бэкдора GoGRPC, перемещения к контроллерам домена и развертывания дополнительных инструментов, таких как Level, перед кражей данных и запуском вымогателя.

В некоторых случаях использовались заметки Microsoft. Чтобы избежать сканирования ссылок, атакующие не вставляют URL напрямую в чат, а переходят по ним сами во время удаленного сеанса. В одном случае жертву заставили выполнить команду PowerShell для загрузки установщика MSI из Microsoft Azure Blob Storage. Этот установщик запускает скрипт PowerShell, который извлекает и выполняет встроенный имплант на языке Python. Затем бэкдор отправляет LDAP-запросы в Active Directory для получения данных о пользователях и компьютерах и передает их на внешний сервер.

## This story in other languages

- [中文](https://www.dataloco.com/zh/microsoft-teams-it)
- [हिन्दी](https://www.dataloco.com/hi/hamalvara-malvayara-oura-ranasamavayara-falna-ka-le-microsoft-teams-aaiita-sahayata-ghatal-ka-upayaga-kara-raha-ha)
- [Türkçe](https://www.dataloco.com/tr/saldirganlar-kotu-amacli-yazilim-dagitmak-icin-microsoft-teams-destek-dolandiriciliklarini-kullaniyor)
- [Polski](https://www.dataloco.com/pl/atakujacy-wykorzystuja-oszustwa-wsparcia-technicznego-w-microsoft-teams-do-wdrazania-zlosliwego-oprogramowania)
- [Indonesia](https://www.dataloco.com/id/penyerang-gunakan-penipuan-dukungan-ti-microsoft-teams-untuk-menyebarkan-perangkat-lunak-berbahaya-dan-ransomware)
- [ไทย](https://www.dataloco.com/th/microsoft-teams)
- [Nederlands](https://www.dataloco.com/nl/aanvallers-gebruiken-microsoft-teams-it-ondersteuningsfraude-voor-malware-en-ransomware)
- [العربية](https://www.dataloco.com/ar/mhagmon-ystkhdmon-aamlyat-ahtyal-aabr-daam-tkny-almaalomat-fy-microsoft-teams-lnshr-brmgyat-khbyth-ofdy)
- [Español](https://www.dataloco.com/es/atacantes-utilizan-estafas-de-soporte-tecnico-en-microsoft-teams-para-desplegar-malware-y-ransomware)
- [Italiano](https://www.dataloco.com/it/attaccanti-utilizzano-truffe-di-supporto-informatico-su-microsoft-teams-per-distribuire-malware-e-ransomware)
- [Deutsch](https://www.dataloco.com/de/betruger-nutzen-microsoft-teams-fur-it-support-betrug-und-malware-verteilung)
- [Português (Brasil)](https://www.dataloco.com/pt-br/atacantes-utilizam-golpes-de-suporte-de-ti-no-microsoft-teams-para-implantar-malware-e-ransomware)