Microsoft Teams è diventato un nuovo punto di ingresso per gli attacchi informatici basati sull’ingegneria sociale. A evidenziarlo è un’analisi pubblicata da Arctic Wolf Labs che descrive oltre 400 incidenti nei quali i criminali hanno sfruttato le chat esterne della piattaforma per impersonare il personale di supporto IT e ottenere un primo accesso agli ambienti aziendali.
L’attività non richiederebbe lo sfruttamento di vulnerabilità di Microsoft Teams, ma farebbe leva sulla fiducia degli utenti e sulla possibilità di avviare conversazioni tra organizzazioni diverse.
Come noto, Microsoft Teams consente per impostazione predefinita la comunicazione con utenti di altre organizzazioni Microsoft365, se entrambi i tenant autorizzano l’accesso esterno. Gli aggressori starebbero sfruttando proprio questa funzionalità legittima per contattare i dipendenti e avviare attacchi di ingegneria sociale, senza dover sfruttare vulnerabilità del software.
Indice degli argomenti
Il falso supporto tecnico e l’inondazione di e-mail
La campagna utilizzava identità create appositamente per sembrare riconducibili al reparto informatico dell’azienda. In pratica i criminali adottavano nomi come “IT Support”, “Help Desk Manager” o “IT Service Desk”, aggiungendo talvolta un nome proprio e la dicitura “Internal” per suggerire un’origine interna.
In diversi incidenti, il contatto fraudolento sarebbe stato preceduto da una tecnica nota come mail bombing, che consiste nell’inviare alla vittima centinaia di e-mail automatiche, spesso sotto forma di iscrizioni a newsletter o conferme di registrazione con l’obiettivo di creare confusione e generare urgenza.
Poco dopo interveniva il falso tecnico proponendo di risolvere il problema e inducendo il dipendente a fidarsi.
Fonte: Arctic Wolf Labs.
Secondo l’analisi, per costruire queste identità, gli attaccanti utilizzavano spesso tenant Microsoft365 appena creati o acquisiti.
Inoltre, nel 30-40% dei casi analizzati comparivano domini predefiniti “.onmicrosoft[.]com”, che possono essere utilizzati per configurare rapidamente un ambiente Teams, mentre tra i domini a pagamento osservati, circa il 50% utilizzava l’estensione [.]top, mentre il 40% ricorreva a [.]com.
In tutti i casi gli aggressori sceglievano spesso nomi che richiamavano aggiornamenti di sicurezza e assistenza tecnica e spesso configuravano i domini in modo da reindirizzare le richieste verso siti legittimi, aumentando l’apparente credibilità dell’identità utilizzata.
Quick Assist e strumenti RMM per ottenere il controllo
Una volta stabilito il contatto, l’obiettivo era convincere la vittima ad avviare una sessione di assistenza remota. Tra gli strumenti individuati figuravano Quick Assist, AnyDesk, ScreenConnect, TeamViewer, Atera, Zoho Assist, NetSupport e LogMeIn.
Mentre Quick Assist è particolarmente utile agli aggressori perché è integrato in Windows e consente di avviare una sessione senza installare un programma aggiuntivo, in altri casi, i criminali introducevono successivamente strumenti commerciali di Remote Monitoring and Management (RMM) per mantenere un canale di accesso indipendente.
Arctic Wolf ha descritto anche una catena di infezione nella quale il falso addetto IT convinceva l’utente a eseguire un comando PowerShell. In tal caso il comando scaricava un pacchetto MSI ospitato su Azure Blob Storage, contenente uno script PowerShell e un archivio ZIP.
La catena che si avvia portava all’estrazione di un interprete Python e di un impianto malevolo eseguito tramite pythonw/.exe e deputato all’invio di query LDAP ad Active Directory per raccogliere informazioni sugli utenti e sui computer dell’organizzazione da trasmettere ai server di comando e controllo.
Come ridurre il rischio nelle organizzazioni
La prima misura consiste nel limitare l’accesso esterno di Teams alle sole organizzazioni con cui esistono rapporti di collaborazione effettivi, utilizzando una lista di domini autorizzati.
È inoltre opportuno bloccare le comunicazioni provenienti da account non gestiti quando non necessarie e impedire l’accesso ai tenant utilizzati dagli aggressori.
Le aziende dovrebbero anche restringere l’uso di Quick Assist al personale autorizzato, controllare l’esecuzione di strumenti RMM non approvati e correlare gli eventi di Teams con i log degli endpoint e delle identità.
Sul piano organizzativo, qualsiasi richiesta di assistenza remota non sollecitata dovrebbe essere verificata attraverso un canale indipendente.
Il dato più importante dell’analisi è che la difesa non può concentrarsi esclusivamente sul rilevamento dei malware. In questa tipologia di attacco, il primo segnale può essere la creazione di una chat esterna sospetta.
Individuarla tempestivamente, prima che il dipendente interagisca con il falso tecnico, può interrompere la catena di compromissione.
Partecipa alla community