Ataque de suplantación en Teams entre tenants

Introducción

Microsoft ha publicado nueva investigación sobre amenazas que describe cómo los atacantes están abusando de los chats externos de Microsoft Teams para suplantar al personal de TI o de helpdesk. Para los equipos de TI y seguridad, esto es un recordatorio importante de que el phishing moderno y la ingeniería social ya no comienzan solo con el correo electrónico: también pueden empezar dentro de herramientas de colaboración de confianza y escalar rápidamente hasta comprometer toda la empresa.

Qué hay de nuevo

El informe de Microsoft describe un playbook de intrusión operado por humanos completo que comienza con mensajes cross-tenant en Teams y termina con exfiltración de datos.

Cadena de ataque destacada por Microsoft

• Contacto inicial a través de Teams: Los atacantes se hacen pasar por personal de soporte mediante comunicación externa en Teams.
• Acceso inicial mediante asistencia remota: Se convence a las víctimas para iniciar Quick Assist u otras herramientas similares de soporte remoto y aprobar el acceso.
• Reconocimiento y validación: Los atacantes comprueban rápidamente los privilegios del usuario, los detalles del sistema y el nivel de acceso.
• Abuso de aplicaciones de confianza: Se inician aplicaciones firmadas por proveedores con módulos proporcionados por el atacante para ejecutar código malicioso.
• Comando y control: Los atacantes establecen acceso persistente mientras se mezclan con la actividad administrativa normal.
• Movimiento lateral: Se usan herramientas nativas como WinRM para pivotar hacia activos de alto valor, incluidos los controladores de dominio.
• Herramientas posteriores: Puede desplegarse software comercial de administración remota como Level RMM.
• Exfiltración de datos: Se utilizan utilidades como Rclone para preparar y mover datos sensibles a almacenamiento externo en la nube.

Por qué esto importa para los administradores

Esta campaña destaca porque depende en gran medida de herramientas legítimas de Microsoft y de terceros en lugar de malware evidente. Eso dificulta la detección y aumenta la probabilidad de que la actividad parezca soporte rutinario de TI, administración remota o acciones aprobadas por el usuario.

El mayor riesgo no es solo la mensajería externa en Teams en sí, sino el momento en que un usuario aprueba el control remoto. Una vez que eso ocurre, los atacantes pueden moverse rápidamente —a menudo en cuestión de minutos— para establecer un acceso más amplio, desplegar herramientas y apuntar a la infraestructura de identidad o de dominio.

Acciones recomendadas

Los administradores deben revisar los controles en colaboración, endpoint y seguridad de identidad:

• Refuerza el acceso externo en Teams y revisa las políticas de comunicación cross-tenant.
• Forma a los usuarios para que traten con sospecha los contactos no solicitados de helpdesk o seguridad en Teams, especialmente los mensajes de primer contacto.
• Restringe o supervisa Quick Assist y otras herramientas de soporte remoto cuando sea posible.
• Vigila cadenas de procesos sospechosas como QuickAssist.exe seguido de cmd.exe o PowerShell.
• Supervisa la actividad de movimiento lateral que involucre WinRM y software inesperado de administración remota.
• Revisa señales de exfiltración de datos asociadas a herramientas como Rclone o destinos inusuales de almacenamiento en la nube.
• Usa Microsoft Defender XDR para correlacionar telemetría de identidad, endpoint y Teams para una detección más temprana.

Conclusión

La investigación de Microsoft muestra que las plataformas de colaboración ya forman parte del panorama activo de intrusiones. Los equipos de seguridad deben tratar la suplantación basada en Teams y la asistencia remota aprobada por el usuario como vías de alto riesgo, y actualizar en consecuencia la monitorización, la concienciación del usuario y los playbooks de respuesta.