Attacco di impersonificazione Teams cross-tenant

Introduzione

Microsoft ha pubblicato una nuova analisi sulle minacce che descrive come gli attaccanti stiano abusando delle chat esterne di Microsoft Teams per impersonare personale IT o helpdesk. Per i team IT e di sicurezza, questo è un importante promemoria: il phishing moderno e il social engineering non iniziano più solo con l’email, ma possono partire all’interno di strumenti di collaborazione fidati e degenerare rapidamente in una compromissione estesa dell’azienda.

Novità

Il report di Microsoft illustra un vero e proprio playbook di intrusione gestito da operatori umani che inizia con messaggi Teams cross-tenant e termina con esfiltrazione dei dati.

Catena di attacco evidenziata da Microsoft

• Contatto iniziale via Teams: gli attaccanti si spacciano per personale di supporto usando comunicazioni Teams esterne.
• Accesso iniziale tramite assistenza remota: le vittime vengono convinte ad avviare Quick Assist o strumenti simili di supporto remoto e ad approvare l’accesso.
• Ricognizione e verifica: gli attaccanti controllano rapidamente privilegi utente, dettagli del sistema e livello di accesso.
• Abuso di app fidate: vengono avviate applicazioni firmate dal vendor con moduli forniti dagli attaccanti per eseguire codice dannoso.
• Command and control: gli attaccanti stabiliscono un accesso persistente confondendosi con la normale attività amministrativa.
• Movimento laterale: strumenti nativi come WinRM vengono usati per spostarsi verso asset di alto valore, inclusi i domain controller.
• Strumenti successivi: può essere distribuito software commerciale di gestione remota come Level RMM.
• Esfiltrazione dei dati: utility come Rclone vengono usate per preparare e trasferire dati sensibili verso storage cloud esterni.

Perché è importante per gli amministratori

Questa campagna è significativa perché si basa in larga misura su strumenti legittimi Microsoft e di terze parti invece che su malware palesi. Questo rende il rilevamento più difficile e aumenta la probabilità che l’attività sembri normale supporto IT, amministrazione remota o azioni approvate dall’utente.

Il rischio maggiore non è solo la messaggistica Teams esterna in sé, ma il momento in cui un utente approva il controllo remoto. Da quel momento, gli attaccanti possono muoversi rapidamente — spesso in pochi minuti — per ottenere un accesso più ampio, distribuire strumenti e colpire infrastrutture di identità o di dominio.

Azioni consigliate

Gli amministratori dovrebbero rivedere i controlli su collaborazione, endpoint e sicurezza delle identità:

• Rafforzare l’accesso Teams esterno e rivedere i criteri di comunicazione cross-tenant.
• Formare gli utenti a trattare con sospetto contatti helpdesk o di sicurezza non richiesti in Teams, soprattutto nei primi messaggi.
• Limitare o monitorare Quick Assist e altri strumenti di supporto remoto ove possibile.
• Monitorare catene di processi sospette come QuickAssist.exe seguito da cmd.exe o PowerShell.
• Controllare il movimento laterale che coinvolge WinRM e software di gestione remota inattesi.
• Esaminare i segnali di esfiltrazione dei dati legati a strumenti come Rclone o a destinazioni cloud storage insolite.
• Usare Microsoft Defender XDR per correlare telemetria di identità, endpoint e Teams e ottenere un rilevamento più tempestivo.

In sintesi

La ricerca di Microsoft mostra che le piattaforme di collaborazione fanno ormai parte del panorama attivo delle intrusioni. I team di sicurezza dovrebbero trattare l’impersonificazione via Teams e l’assistenza remota approvata dagli utenti come percorsi ad alto rischio e aggiornare di conseguenza monitoraggio, consapevolezza degli utenti e playbook di risposta.