{{Cross-tenant Teams-imitatieaanval playbook}}

{{## Introductie Microsoft heeft nieuw dreigingsonderzoek gepubliceerd waarin wordt beschreven hoe aanvallers externe Microsoft Teams-chats misbruiken om zich voor te doen als IT- of helpdeskmedewerkers. Voor IT- en securityteams is dit een belangrijke herinnering dat moderne phishing en social engineering niet langer alleen met e-mail beginnen — ze kunnen starten binnen vertrouwde samenwerkingstools en snel escaleren naar een organisatiebrede compromittering.

Wat is er nieuw

Het rapport van Microsoft schetst een volledig human-operated intrusion playbook dat begint met cross-tenant Teams-berichten en eindigt met data-exfiltratie.

Aanvalsketen uitgelicht door Microsoft

• Eerste contact via Teams: Aanvallers doen zich voor als supportmedewerkers via externe Teams-communicatie.
• Voet aan de grond via externe ondersteuning: Slachtoffers worden overtuigd om Quick Assist of vergelijkbare tools voor externe ondersteuning te starten en toegang goed te keuren.
• Verkenning en validatie: Aanvallers controleren snel gebruikersrechten, systeemdetails en het toegangsniveau.
• Misbruik van vertrouwde apps: Door leveranciers ondertekende applicaties worden gestart met door aanvallers aangeleverde modules om kwaadaardige code uit te voeren.
• Command and control: Aanvallers zetten persistente toegang op terwijl ze opgaan in normale beheeractiviteit.
• Laterale verplaatsing: Native tools zoals WinRM worden gebruikt om door te bewegen naar waardevolle assets, waaronder domain controllers.
• Vervolgtooling: Commerciële software voor extern beheer zoals Level RMM kan worden uitgerold.
• Data-exfiltratie: Utilities zoals Rclone worden gebruikt om gevoelige data gereed te maken en te verplaatsen naar externe cloudopslag.

Waarom dit belangrijk is voor beheerders

Deze campagne valt op omdat ze sterk leunt op legitieme Microsoft- en third-party tools in plaats van op overduidelijke malware. Dat maakt detectie moeilijker en vergroot de kans dat de activiteit eruitziet als routinematige IT-support, extern beheer of door gebruikers goedgekeurde handelingen.

Het grootste risico is niet alleen externe Teams-berichten op zich, maar het moment waarop een gebruiker externe besturing goedkeurt. Zodra dat gebeurt, kunnen aanvallers snel handelen — vaak binnen enkele minuten — om bredere toegang te verkrijgen, tools uit te rollen en identiteits- of domeininfrastructuur aan te vallen.

Aanbevolen acties

Beheerders moeten controles evalueren op het gebied van samenwerking, endpoints en identiteitsbeveiliging:

• Versterk externe Teams-toegang en beoordeel cross-tenant communicatiebeleid.
• Train gebruikers om ongevraagde helpdesk- of securitycontacten in Teams met argwaan te benaderen, vooral bij eerste contact.
• Beperk of monitor Quick Assist en andere tools voor externe ondersteuning waar mogelijk.
• Let op verdachte procesketens zoals QuickAssist.exe gevolgd door cmd.exe of PowerShell.
• Monitor activiteit voor laterale verplaatsing waarbij WinRM en onverwachte software voor extern beheer betrokken zijn.
• Beoordeel signalen van data-exfiltratie die verband houden met tools zoals Rclone of ongebruikelijke cloudopslagbestemmingen.
• Gebruik Microsoft Defender XDR om identiteits-, endpoint- en Teams-telemetrie te correleren voor eerdere detectie.

Conclusie

Het onderzoek van Microsoft laat zien dat samenwerkingsplatforms nu deel uitmaken van het actieve intrusielandschap. Securityteams moeten Teams-gebaseerde imitatie en door gebruikers goedgekeurde externe ondersteuning behandelen als risicovolle aanvalspaden en hun monitoring, gebruikersbewustzijn en response playbooks dienovereenkomstig bijwerken.}}