Angripare använder bedrägerier via Microsoft Teams IT-support för att sprida skadlig kod och utpressningsprogram

an office with a lot of desks and chairs — Bernd 📷 Dittrich / Unsplash

Säkerhetsforskare har identifierat ett återkommande mönster av social manipulation där hotaktörer utnyttjar funktionen för externa chattar i Microsoft Teams för att genomföra identitetsbedrägerier eller leverera skadlig kod.

Enligt Arctic Wolf Labs uppvisar incidenterna ett konsekvent beteende där angripare använder samma tillfälliga klienter, visningsnamn som liknar intern IT-support samt likadana verktyg för fjärråtkomst och domäner för nyttolast. Angriparna använder IT-tema eller vänliga förnamn för att kringgå varningar om externa användare i Teams. Dessa meddelanden kommer från identiteter som skapats via nyinköpta eller nyskapade klienter i Microsoft 365.

I ungefär 30 till 40 procent av de undersökta fallen används domäner som slutar på onmicrosoft.com, vilket är en standarddomän som genereras automatiskt av Microsoft. Dessa domäner utger sig för att vara IT-infrastruktur genom att använda ord relaterade till support eller hjälpcenter. Forskare har även noterat en övergång till betalda toppdomäner, där cirka 50 procent av de falska identiteterna använde .top, omkring 40 procent använde .com och drygt 5 procent använde flernivådomäner som .com.pl.com.vn och .com.br.

Attackerna föregås ofta av så kallad e-postbombning, där offrets inkorg fylls med hundratals bekräftelser på nyhetsbrev eller prenumerationer för att skapa en falsk känsla av brådska. Kort därefter skickas ett meddelande från den falska IT-supporten för att hjälpa till att lösa problemet. I vissa fall lägger angriparna till målorganisationens domän eller företagsnamn i sitt visningsnamn för att öka trovärdigheten.

Angreppen riktar sig mot organisationer där extern åtkomst är aktiverad och involverar ibland röstfiske för att lura offer att ge fjärråtkomst via verktyg som Quick Assist, AnyDesk, ScreenConnect, TeamViewer, Atera, Zoho Assist, NetSupport eller LogMeIn. Denna åtkomst används för rekognosering, leverans av bakdörrar som GoGRPC, förflyttning till domänkontrollanter och slutligen för att stjäla känsliga data och installera utpressningsprogrammet Chaos.

För att undvika säkerhetsskanningar undviker angriparna ofta att klistra in länkar direkt i Teams och navigerar istället till nyttolasten under fjärrsessionen. I ett specifikt fall instruerades användaren att köra ett PowerShell-kommando för att ladda ner en installationsfil från Microsoft Azure Blob Storage, vilket i sin tur körde ett Python-implantat som hämtade information om datorer och användare från Active Directory.