Злоумышленники используют внешние чаты Teams для первоначального доступа

Злоумышленники используют легитимную функцию внешних чатов Microsoft Teams для первоначального доступа, не прибегая к эксплуатации известных уязвимостей. Они выдают себя за внутреннюю ИТ-поддержку, а в некоторых кампаниях предварительно массово рассылают электронные письма, чтобы создать ощущение срочности и замаскировать легитимные сообщения до контакта через Teams.

Для атак злоумышленники используют недавно созданные или приобретённые тенанты Microsoft 365, часто с доменами по умолчанию *.onmicrosoft.com. Отображаемые имена могут включать метки вроде «(Internal)», имена, похожие на имена сотрудников, эмодзи или название целевой организации. Злоумышленники всё чаще используют пользовательские домены. Среди наблюдаемых платных доменов преобладает зона .top.

Первоначальный чат обычно сопровождается фишинговым звонком или инструкциями по установке либо запуску программ для удалённого доступа. Среди часто используемых инструментов:

• Quick Assist;
• AnyDesk;
• ScreenConnect;
• TeamViewer;
• Atera;
• Zoho Assist;
• NetSupport;
• LogMeIn.

Quick Assist нередко применяют на первом этапе. Затем злоумышленники могут установить другое средство удалённого мониторинга и управления, чтобы сохранить независимый канал удалённого доступа. Они могут связаться с несколькими сотрудниками за несколько минут. В задокументированных случаях от первого контакта до выполнения полезной нагрузки проходило менее 15 минут.

В одной из зафиксированных цепочек заражения пользователь выполнил команду PowerShell и загрузил файл. MSI-файл из Azure Blob Storage содержал сценарий PowerShell и ZIP-архив. Сценарий в каталоге AppData пользователя декодировал и расшифровывал обфусцированную полезную нагрузку. Та извлекала из архива интерпретатор Python и имплант, а затем запускала его с помощью pythonw.exe.

Имплант запрашивал в Active Directory объекты пользователей и компьютеров, а затем отправлял собранные имена учётных записей и описания на узлы управления, указанные в его коде.

Авторы отчёта рекомендуют считать подозрительными неожиданные внешние чаты в Teams, особенно если собеседник выдаёт себя за службу ИТ-поддержки после массовой рассылки сообщений. Среди предложенных мер они называют ограничение внешних доменов Teams и использования Quick Assist и несанкционированных инструментов удалённого мониторинга и управления, а также создание оповещений при обнаружении неожиданного программного обеспечения для удалённого доступа. Для запросов на удалённую поддержку авторы рекомендуют требовать подтверждения по независимому каналу связи и отслеживать последующую разведку, например перечисление пользователей, групп или сетевых ресурсов.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.