ผู้โจมตีใช้การหลอกลวงผ่านฝ่ายสนับสนุนด้านไอทีของ Microsoft Teams เพื่อติดตั้งมัลแวร์และแรนซัมแวร์

Close-up of a dark laptop keyboard — Rodrigo Tadeo / Unsplash

นักวิจัยด้านความปลอดภัยทางไซเบอร์ตรวจพบรูปแบบการใช้จิตวิทยาทางสังคมที่เกิดขึ้นซ้ำในหลายร้อยกรณี โดยผู้ไม่หวังดีใช้คุณสมบัติการสร้างแชทภายนอกของ Microsoft Teams เพื่อปลอมตัวหรือส่งมัลแวร์ไปยังเป้าหมาย

Arctic Wolf Labs ระบุว่าผู้โจมตีมีพฤติกรรมที่สอดคล้องกัน คือการใช้ผู้เช่าชั่วคราว ชื่อที่แสดงเป็น ฝ่ายสนับสนุนด้านไอที (ภายใน) เครื่องมือเข้าถึงระยะไกล และโดเมนสำหรับส่งไฟล์ชุดเดียวกัน โดยมีการใช้ชื่อที่เกี่ยวข้องกับไอทีหรือชื่อต้นที่ดูเป็นมิตรเพื่อหลีกเลี่ยงคำเตือนผู้ใช้ภายนอกใน Teams ซึ่งบัญชีเหล่านี้ถูกสร้างขึ้นผ่านผู้เช่า Microsoft 365 ที่สร้างขึ้นใหม่หรือถูกซื้อมา

จากการตรวจสอบพบว่าประมาณร้อยละ 30 ถึง 40 ของกรณีเหล่านี้ใช้โดเมน onmicrosoft.com ซึ่งเป็นโดเมนสำรองที่ Microsoft สร้างให้โดยอัตโนมัติ โดยผู้โจมตีจะเลือกใช้คำที่เกี่ยวข้องกับโต๊ะช่วยเหลือหรือการสนับสนุนเพื่อเพิ่มความน่าเชื่อถือ นอกจากนี้ยังพบการเปลี่ยนไปใช้โดเมนระดับบนสุดแบบชำระเงิน โดยประมาณร้อยละ 50 ใช้โดเมน .top และร้อยละ 40 ใช้โดเมน .com

วิธีการโจมตีมักเริ่มจากการส่งอีเมลจำนวนมหาศาลเพื่อสร้างความตื่นตระหนก จากนั้นจึงส่งข้อความผ่าน Teams เพื่อเสนอความช่วยเหลือ ซึ่งนำไปสู่การหลอกล่อให้เหยื่ออนุญาตการเข้าถึงเครื่องผ่านเครื่องมือจัดการระยะไกล เช่น Quick Assist หรือ AnyDesk เพื่อทำการสอดแนม ส่งมัลแวร์ประตูลับ GoGRPC และติดตั้งแรนซัมแวร์ Chaos ตามรายงานของ Sophos

ในบางกรณี ผู้โจมตีสั่งให้ผู้ใช้รันคำสั่ง PowerShell เพื่อดาวน์โหลดไฟล์ติดตั้งจาก Microsoft Azure Blob Storage ซึ่งจะนำไปสู่การรันสคริปต์ Python เพื่อดึงข้อมูลวัตถุคอมพิวเตอร์และผู้ใช้จาก Active Directory ส่งไปยังเซิร์ฟเวอร์ภายนอก โดยการโจมตีนี้มุ่งเน้นไปที่องค์กรที่เปิดใช้งานการเข้าถึงจากภายนอก