Des attaquants utilisent des conversations externes sur Microsoft Teams pour se faire passer pour le support informatique et convaincre les employés de leur accorder un accès à distance, selon Arctic Wolf Labs. Sur des centaines de cas, la société a relevé l'usage récurrent de locataires Microsoft 365 jetables, d'identités à thème support et de logiciels d'accès à distance légitimes, certaines intrusions allant jusqu'à l'exécution de logiciels malveillants et à une compromission plus large.
L'activité vise les organisations qui autorisent les accès externes dans Teams. Arctic Wolf décrit cette technique comme un abus de confiance plutôt que comme l'exploitation d'une vulnérabilité logicielle, selon les conclusions signalées par The Hacker News.
De la saturation de la boîte de réception à l'accès à distance
Dans de nombreux cas, les attaquants commencent par submerger la boîte de réception d'un employé de centaines de confirmations d'abonnement ou de newsletters en peu de temps. Un message Teams arrive ensuite pour proposer une aide informatique supposée, transformant la perturbation en prétexte pour établir le contact.
Les messages proviennent d'identités créées ou rachetées sur des locataires Microsoft 365 nouvellement établis. Les attaquants utilisent des noms tels que « Help Desk », « IT Support » ou « Enterprise IT & Security (Internal) » pour donner aux comptes externes un air familier, malgré les avertissements de Teams concernant les utilisateurs externes. Plus récemment, Arctic Wolf a observé des attaquants ajoutant le nom ou le domaine de l'organisation ciblée à leurs noms d'affichage.
Environ 30 à 40 % des cas examinés par Arctic Wolf impliquaient *.onmicrosoft[.]com, le domaine de repli permanent que Microsoft génère automatiquement lors de la création d'un locataire. Parmi les exemples observés figuraient helpdeskteam365.onmicrosoft[.]com et itendpoint365.onmicrosoft[.]com.
Arctic Wolf signale également un récent virage vers les domaines payants. Parmi les domaines payants identifiés dans ces arnaques au cours des derniers mois, environ 50 % des fausses identités utilisaient .top, environ 40 % utilisaient .com, et un peu plus de 5 % utilisaient des domaines à plusieurs niveaux tels que .com.pl, .com.vn et .com.br.
L'ingénierie sociale par la voix aide à faire passer la victime de la conversation à l'octroi d'un accès direct via des outils légitimes. Parmi les outils observés figuraient Quick Assist, AnyDesk, ScreenConnect (ConnectWise), TeamViewer, Atera, Zoho Assist, NetSupport et LogMeIn.
Ce que permet la session à distance
Une fois connectés, les attaquants peuvent utiliser la session à distance pour la reconnaissance, le déploiement de charges utiles supplémentaires et le mouvement latéral. L'activité rapportée comprenait le déploiement de la porte dérobée GoGRPC, un déplacement vers des contrôleurs de domaine et l'installation de Level comme outil d'accès à distance supplémentaire, par redondance. Certaines intrusions ont abouti à l'exfiltration de données sensibles et au déploiement de rançongiciels.
Le rapport décrit des similitudes avec l'activité suivie sous le nom STAC4749, qui a utilisé des domaines cloud .top à thème informatique et des noms d'utilisateur d'employés plausibles. Sophos a relié des attaques associées à cette activité au déploiement du rançongiciel Chaos ; cette comparaison n'établit pas que chaque cas d'usurpation via Teams impliquait le même opérateur ou la même famille de rançongiciels.
Un cas a suivi une chaîne d'exécution distincte. L'attaquant a demandé à un utilisateur d'exécuter une commande PowerShell qui a téléchargé et lancé un installeur MSI depuis Microsoft Azure Blob Storage. Cet installeur a démarré un script PowerShell qui a extrait et exécuté un implant Python intégré. Cette porte dérobée a lancé une autre transaction MSI, interrogé Active Directory via LDAP pour l'ensemble des objets ordinateurs et utilisateurs, puis transmis les résultats à un serveur externe.
Arctic Wolf indique que les attaquants évitent généralement de placer les URL des charges utiles directement dans Teams, où Safe Links / l'analyse ZAP pourraient les inspecter. Ils naviguent plutôt vers la charge utile pendant la session à distance. Selon la société, ce comportement fait de la télémétrie des postes de travail et des identités des sources de surveillance essentielles, en complément de l'analyse des messages.
