Операторы PREY-0059 крадут учётные данные через поддельную техподдержку в Teams

PREY-0059 использует социальную инженерию в Microsoft Teams: злоумышленники выдают себя за сотрудников внутренней технической поддержки и направляют жертв на поддельные страницы для кражи учётных данных. Вредоносный архив, замаскированный под обновление Windows, устанавливает троян удалённого доступа на Java.

Поддельная поддержка и сбор учётных данных

Операторы PREY-0059 используют внешние тенанты Entra, названные в честь целевой организации. В названиях часто встречаются слова «it» или «helpdesk». Отображаемые имена в этих тенантах совпадают с именами реальных сотрудников.

Сообщения в Teams ведут на страницы Amazon S3, оформленные в корпоративном стиле и имитирующие портал ServiceNow Self Care Portal. Страницы запрашивают учётные данные через диалоговое окно «Health Check» и сохраняют переданные данные в объект results.txt в том же бакете S3. Некоторые страницы также используют Azure Blob Storage в качестве альтернативного хранилища.

Запуск трояна и действия на заражённом хосте

Приманка распространяет архивы под видом обновлений Windows. Имена файлов обычно начинаются с kb, за которым следуют цифры и однобуквенное расширение. Жертве предлагают открыть диалоговое окно «Выполнить» в Windows, запустить через него cmd.exe и вставить команду. Она использует штатную утилиту Windows tar.exe, чтобы извлечь вложенный архив в каталог с префиксом KB в %AppData%, а затем запустить javaw.exe с исходным кодом Java.

В архив входят подписанная среда выполнения Eclipse Adoptium OpenJDK 25.0.4.1 и несколько файлов .java. Ключевой индикатор компрометации, запуск исходного кода Java из доступного для записи каталога профиля пользователя, а не из файла JAR.

Троян выполняет сбор сведений о хосте с помощью запросов к реестру, переменных среды, команд ipconfig и tasklist. В его состав входят клиент управления по протоколу WebSocket, TCP-прокси для передачи трафика, выбранного оператором, а также сервисы выполнения команд Windows и управления файлами.

Вредоносная программа взаимодействует с инфраструктурой управления и контроля, размещённой на CloudFront. Azure Front Door настроен как резервный канал. В некоторых случаях программа может обращаться к ipinfo.io, чтобы получить публичный IP-адрес жертвы. Обмен данными с инфраструктурой управления и контроля может начаться в течение нескольких минут после получения первоначального сообщения в Teams.

Примерно в течение шести минут после выполнения вредоносного кода скомпрометированные хосты могут обращаться к контроллерам домена по протоколу LDAP и сканировать системы с открытыми службами SMB и RPC.

При расследовании проверяют:

• необычные среды выполнения Java в каталоге %AppData%;
• команды tar -xf, извлекающие файлы с подозрительными именами из папки Downloads;
• метаданные перенаправлений S3;
• чаты в Teams от подозрительных внешних тенантов;
• DNS-запросы, созданные Java и направленные на домены CloudFront или Azure Front Door.

Авторы отчёта рекомендуют организациям:

• ограничить внешний доступ в Teams;
• блокировать средствами управления приложениями запуск интерпретаторов из доступных для записи пользователем путей;
• после подтверждения выполнения вредоносного кода расследовать перемещение внутри организации и утечку учётных данных.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.