Según Arctic Wolf Labs, los atacantes usan chats externos de Microsoft Teams para hacerse pasar por soporte de TI y convencer a los empleados de conceder acceso remoto. En cientos de casos, la compañía identificó el uso recurrente de tenants desechables de Microsoft 365, identidades con temática de soporte y software legítimo de acceso remoto. Algunas intrusiones llegaron a la ejecución de malware y a un compromiso más amplio.
La actividad apunta a organizaciones que permiten el acceso externo en Teams. Según los hallazgos informados por The Hacker News, Arctic Wolf describió la técnica como un abuso de la confianza y no como la explotación de una vulnerabilidad de software.
De la saturación del buzón al acceso remoto
En muchos casos, los atacantes primero saturan el buzón de un empleado con cientos de confirmaciones de boletines o suscripciones en un periodo corto. Después llega un mensaje de Teams que ofrece supuesta asistencia de TI, y así la interrupción se convierte en un pretexto para el contacto.
Los mensajes proceden de identidades establecidas en tenants de Microsoft 365 recién creados o adquiridos. Los atacantes usan nombres como «Help Desk», «IT Support» y «Enterprise IT & Security (Internal)» para que las cuentas externas parezcan familiares, pese a las advertencias de usuario externo de Teams. Más recientemente, Arctic Wolf observó que los atacantes añaden el nombre o el dominio de la organización objetivo a sus nombres para mostrar.
Aproximadamente entre el 30 % y el 40 % de los casos investigados por Arctic Wolf involucraban *.onmicrosoft[.]com, el dominio de respaldo permanente que Microsoft genera automáticamente al crear un tenant. Entre los ejemplos observados figuraban helpdeskteam365.onmicrosoft[.]com y itendpoint365.onmicrosoft[.]com.
Arctic Wolf también informó de un reciente cambio hacia dominios de pago. Entre los dominios de pago identificados en estas estafas durante los meses anteriores, aproximadamente el 50 % de las identidades falsas usaba .top, alrededor del 40 % usaba .com y poco más del 5 % usaba dominios de varios niveles como .com.pl, .com.vn y .com.br.
La ingeniería social por voz ayuda a pasar a la víctima del chat a conceder acceso directo a través de herramientas legítimas. Entre las herramientas observadas figuraban Quick Assist, AnyDesk, ScreenConnect (ConnectWise), TeamViewer, Atera, Zoho Assist, NetSupport y LogMeIn.
Lo que permite la sesión remota
Una vez conectados, los atacantes pueden usar la sesión remota para reconocimiento, entrega de cargas útiles adicionales y movimiento lateral. La actividad informada incluyó el despliegue de la puerta trasera GoGRPC, el movimiento hacia controladores de dominio y la instalación de Level como herramienta adicional de acceso remoto para redundancia. Algunas intrusiones llegaron a la exfiltración de datos sensibles y al despliegue de ransomware.
El informe describió similitudes con la actividad rastreada como STAC4749, que ha usado dominios cloud .top con temática de TI y nombres de usuario de empleados verosímiles. Sophos ha vinculado los ataques asociados a esa actividad con el despliegue del ransomware Chaos. La comparación no establece que todos los casos de suplantación en Teams involucraran al mismo operador o a la misma familia de ransomware.
Un caso siguió una cadena de ejecución distinta. El atacante indicó a un usuario que ejecutara un comando de PowerShell que descargaba e iniciaba un instalador MSI desde Microsoft Azure Blob Storage. El instalador inició un script de PowerShell que extrajo y ejecutó un implante de Python incrustado. Esa puerta trasera inició otra operación MSI, consultó Active Directory mediante LDAP para todos los objetos de equipo y de usuario, y transmitió los resultados a un servidor externo.
Arctic Wolf afirmó que, por lo general, los atacantes evitan colocar las URL de carga útil directamente en Teams, donde el análisis de Safe Links / ZAP podría inspeccionarlas. En cambio, navegan hasta la carga útil durante la sesión remota. Según la compañía, ese comportamiento hace que la telemetría de endpoints e identidades sea una fuente de monitorización esencial junto con el análisis de mensajes.
