Le truffe su Microsoft Teams portano dalle false chat di assistenza IT al ransomware
Le truffe su Microsoft Teams utilizzano chat esterne, false identità di assistenza IT e software legittimi di remote access per passare dal social engineering al malware e, in alcuni casi, al ransomware. Arctic Wolf Labs afferma di aver individuato questo schema ricorrente in centinaia di casi esaminati, nei quali gli aggressori hanno utilizzato ripetutamente alcuni degli stessi Microsoft 365 tenant usa e getta, display name a tema assistenza, strumenti di remote access e domini dei payload.
I messaggi provengono da identità create tramite Microsoft 365 tenant nuovi o acquisiti, ossia ambienti cloud separati configurati per le organizzazioni. Gli aggressori scelgono nomi come Help Desk, IT Support, HelpDesk Manager, HelpDesk Supervisor, Maintenance Service e IT/Help Desk. Tra le altre identità osservate figurano Enterprise IT & Security (Internal), IT Tech Support Internal e account IT Service Desk associati a nomi propri rassicuranti. Arctic Wolf afferma che i tentativi recenti hanno inserito nel display name anche il nome o il dominio dell'azienda presa di mira. Queste scelte mirano a far sembrare interno l'account, nonostante l'avviso mostrato da Teams per un utente esterno.
Circa il 30-40% dei casi esaminati da Arctic Wolf utilizzava un indirizzo sotto *.onmicrosoft[.]com. Microsoft crea automaticamente questo dominio di fallback permanente quando viene configurato un Microsoft 365 tenant. Gli aggressori hanno scelto nomi di tenant legati all'assistenza, come helpdeskteam365.onmicrosoft[.]com, itendpoint365.onmicrosoft[.]com, itcoreportal.onmicrosoft[.]com, itadmin922.onmicrosoft[.]com e corporateitservicellc.onmicrosoft[.]com, per far assomigliare le identità all'infrastruttura IT aziendale.
Molti incidenti sono iniziati con l'email bombing, durante il quale centinaia di registrazioni a newsletter o conferme di abbonamento sono arrivate nella casella di posta della vittima in un breve periodo. Subito dopo è apparso su Teams un messaggio fraudolento di assistenza che si offriva di risolvere l'apparente problema. Il volume dei messaggi crea un senso di urgenza e fornisce a chi si spaccia per un tecnico una spiegazione tempestiva per il contatto. Per i dipendenti e i gestori di siti web, una chat di assistenza inattesa che segue immediatamente l'inondazione della casella di posta dovrebbe quindi essere considerata parte dello stesso possibile attacco, non un'offerta di aiuto indipendente.
Arctic Wolf ha inoltre rilevato uno spostamento verso top-level domains a pagamento, o TLDs, ossia le estensioni utilizzate dai domini Internet. Tra i domini a pagamento individuati in queste truffe nei mesi precedenti, circa il 50% delle false identità utilizzava .top, approssimativamente il 40% usava .com e poco più del 5% impiegava estensioni multilivello, tra cui .com.pl, .com.vn e .com.br. L'attività è coerente con il cluster monitorato come STAC4749, che in precedenza ha creato domini cloud a tema IT sotto .top e utilizzato username plausibili di dipendenti. Sophos ha collegato gli attacchi associati a questa attività alla distribuzione di Chaos ransomware, un malware che rende i dati indisponibili e richiede un pagamento.
Le campagne prendono di mira le organizzazioni che consentono l'accesso esterno a Teams. Gli aggressori aggiungono il vishing, cioè chiamate vocali usate per ingannare qualcuno, e convincono le vittime a concedere il controllo interattivo tramite software legittimi di remote monitoring and management (RMM). Gli strumenti osservati nei casi includono Quick Assist, AnyDesk, ScreenConnect (ConnectWise), TeamViewer, Atera, Zoho Assist, NetSupport e LogMeIn. Poiché si tratta di veri prodotti di amministrazione, la loro sola presenza non dimostra un'attività malevola. Il pericolo sorge quando un chiamante o un contatto in chat non verificato convince un utente ad avviare una sessione e a cedere il controllo.
Una volta connessi, gli aggressori hanno utilizzato tale accesso per esaminare l'ambiente, installare la backdoor GoGRPC, spostarsi tra i sistemi e raggiungere i domain controllers, che gestiscono identità e accessi in una rete Windows. Hanno inoltre installato un altro strumento RMM chiamato Level per mantenere una seconda via di accesso all'ambiente. Arctic Wolf afferma che la sequenza può progredire fino al furto di informazioni sensibili e all'esecuzione di ransomware. I ricercatori hanno inoltre registrato un sottoinsieme di casi in cui gli aggressori hanno utilizzato le note di Microsoft.
Anziché pubblicare un indirizzo malevolo direttamente in Teams, gli aggressori generalmente raggiungevano autonomamente il payload dopo aver ottenuto il remote control. Arctic Wolf afferma che questa tecnica evita di inserire l'indirizzo in un punto in cui i controlli di scansione dei messaggi Safe Links e ZAP di Microsoft potrebbero esaminarlo. Questo comportamento significa che il filtraggio dei messaggi non può fornire un quadro completo. Le organizzazioni devono inoltre esaminare l'endpoint activity, cioè gli eventi sui computer degli utenti, e l'identity activity associata agli account e ai tentativi di accesso.
In un caso, un aggressore ha detto alla vittima di eseguire un comando PowerShell, utilizzando lo strumento Microsoft per i comandi e l'automazione, allo scopo di recuperare e aprire un file. Il comando ha scaricato un MSI installer, ossia un pacchetto usato da Windows per installare software, da Microsoft Azure Blob Storage. La sua esecuzione ha avviato uno script PowerShell che ha estratto ed eseguito un Python implant incorporato. Quella backdoor ha quindi avviato un'altra transazione MSI ed eseguito query Lightweight Directory Access Protocol (LDAP) su Active Directory, raccogliendo ogni oggetto relativo a computer e utenti prima di inviare le informazioni a un server esterno.
Gli incidenti sfruttano la fiducia anziché una vulnerability software, quindi l'installazione di una patch non elimina il punto di accesso iniziale. Le aziende dovrebbero verificare i contatti di assistenza inattesi tramite un numero di telefono già noto o un canale interno, limitare l'accesso esterno a Teams quando non è necessario e controllare rigorosamente chi può avviare sessioni di assistenza remota. Per le organizzazioni che valutano questa esposizione, AEU-I fornisce servizi IT security-first, infrastruttura e consulenza. L'avvertimento principale per i gestori di siti e i team IT è che una chat di assistenza apparentemente ordinaria può trasformarsi in una via per individuare account, rubare dati e distribuire ransomware una volta concesso il remote access.