Gli attaccanti usano chat esterne di Microsoft Teams per impersonare il supporto IT e convincere i dipendenti a concedere accesso remoto, secondo Arctic Wolf Labs. In centinaia di casi, l'azienda ha individuato l'uso ricorrente di tenant Microsoft 365 usa e getta, identità a tema supporto e software legittimo per l'accesso remoto. In alcune intrusioni si è arrivati all'esecuzione di malware e a una compromissione più ampia.
L'attività colpisce le organizzazioni che consentono l'accesso esterno in Teams. Secondo i risultati riportati da The Hacker News, Arctic Wolf descrive la tecnica come un abuso di fiducia, non come lo sfruttamento di una vulnerabilità del software.
Dalla saturazione della casella all'accesso remoto
In molti casi, gli aggressori riempiono innanzitutto la casella di posta di un dipendente con centinaia di conferme di newsletter o iscrizioni in un breve intervallo di tempo. Poi arriva un messaggio su Teams che offre presunta assistenza IT, trasformando il disagio in un pretesto per il contatto.
I messaggi provengono da identità create o acquisite tramite tenant Microsoft 365 nuovi o rilevati. Gli aggressori usano nomi come «Help Desk», «IT Support» ed «Enterprise IT & Security (Internal)» per far sembrare familiari account esterni, nonostante gli avvisi di Teams per gli utenti esterni. Più di recente, Arctic Wolf ha osservato che gli aggressori aggiungono il nome o il dominio dell'organizzazione bersaglio ai nomi visualizzati.
Circa il 30-40% dei casi analizzati da Arctic Wolf ha coinvolto *.onmicrosoft[.]com, il dominio di ripiego permanente che Microsoft genera automaticamente alla creazione di un tenant. Tra gli esempi osservati figuravano helpdeskteam365.onmicrosoft[.]com e itendpoint365.onmicrosoft[.]com.
Arctic Wolf ha inoltre segnalato un recente passaggio verso domini a pagamento. Tra i domini a pagamento individuati in queste truffe nei mesi precedenti, circa il 50% delle identità false usava .top, circa il 40% usava .com e poco più del 5% usava domini multilivello come .com.pl, .com.vn e .com.br.
L'ingegneria sociale basata sulla voce aiuta a portare la vittima dalla chat alla concessione di accesso diretto tramite strumenti legittimi. Tra quelli osservati figuravano Quick Assist, AnyDesk, ScreenConnect (ConnectWise), TeamViewer, Atera, Zoho Assist, NetSupport e LogMeIn.
Cosa consente la sessione remota
Una volta connessi, gli aggressori possono usare la sessione remota per la ricognizione, la distribuzione di payload aggiuntivi e il movimento laterale. L'attività riportata comprendeva il deployment della backdoor GoGRPC, lo spostamento verso i domain controller e l'installazione di Level come ulteriore strumento di accesso remoto, a scopo di ridondanza. In alcune intrusioni si è arrivati all'esfiltrazione di dati sensibili e alla distribuzione di ransomware.
Il rapporto descrive somiglianze con l'attività tracciata come STAC4749, che ha usato domini cloud .top a tema IT e nomi utente plausibili per i dipendenti. Sophos ha collegato attacchi associati a tale attività alla distribuzione del ransomware Chaos. Il confronto non stabilisce però che ogni caso di impersonificazione su Teams coinvolgesse lo stesso operatore o la stessa famiglia di ransomware.
Un caso ha seguito una catena di esecuzione diversa. L'aggressore ha chiesto a un utente di eseguire un comando PowerShell che ha scaricato e avviato un installer MSI da Microsoft Azure Blob Storage. L'installer ha avviato uno script PowerShell che ha estratto ed eseguito un implant Python incorporato. Quella backdoor ha avviato un'altra transazione MSI, ha interrogato Active Directory tramite LDAP per tutti gli oggetti computer e utente e ha trasmesso i risultati a un server esterno.
Arctic Wolf afferma che, di norma, gli aggressori evitano di inserire direttamente gli URL dei payload in Teams, dove Safe Links / ZAP potrebbero analizzarli. Vi accedono invece durante la sessione remota. Secondo l'azienda, questo comportamento rende indispensabili, insieme alla scansione dei messaggi, le telemetrie degli endpoint e delle identità come fonti di monitoraggio.
