Atak podszywania w Teams między tenantami

Wprowadzenie

Microsoft opublikował nowe badania dotyczące zagrożeń, opisujące, jak atakujący nadużywają zewnętrznych czatów Microsoft Teams, aby podszywać się pod pracowników IT lub helpdesku. Dla zespołów IT i bezpieczeństwa to ważne przypomnienie, że nowoczesny phishing i socjotechnika nie zaczynają się już wyłącznie od emaila — mogą rozpocząć się wewnątrz zaufanych narzędzi do współpracy i szybko doprowadzić do kompromitacji całego środowiska.

Co nowego

Raport Microsoft przedstawia pełny playbook włamania obsługiwanego przez człowieka, który zaczyna się od wiadomości Teams między tenantami i kończy eksfiltracją danych.

Łańcuch ataku wskazany przez Microsoft

• Początkowy kontakt przez Teams: Atakujący podszywają się pod personel wsparcia, korzystając z zewnętrznej komunikacji Teams.
• Uzyskanie przyczółka przez zdalną pomoc: Ofiary są nakłaniane do uruchomienia Quick Assist lub podobnych narzędzi zdalnego wsparcia i zatwierdzenia dostępu.
• Rozpoznanie i weryfikacja: Atakujący szybko sprawdzają uprawnienia użytkownika, szczegóły systemu i poziom dostępu.
• Nadużycie zaufanych aplikacji: Aplikacje podpisane przez dostawcę są uruchamiane z modułami dostarczonymi przez atakującego w celu wykonania złośliwego kodu.
• Command and control: Atakujący ustanawiają trwały dostęp, jednocześnie wtapiając się w normalną aktywność administracyjną.
• Ruch boczny: Do przechodzenia do zasobów o wysokiej wartości, w tym kontrolerów domeny, wykorzystywane są natywne narzędzia, takie jak WinRM.
• Dodatkowe narzędzia: Mogą zostać wdrożone komercyjne narzędzia do zdalnego zarządzania, takie jak Level RMM.
• Eksfiltracja danych: Narzędzia takie jak Rclone są używane do przygotowania i przenoszenia wrażliwych danych do zewnętrznej pamięci w chmurze.

Dlaczego to ma znaczenie dla administratorów

Ta kampania jest szczególnie istotna, ponieważ w dużym stopniu opiera się na legalnych narzędziach Microsoft i firm trzecich, a nie na oczywistym malware. To utrudnia wykrywanie i zwiększa prawdopodobieństwo, że aktywność będzie wyglądać jak rutynowe wsparcie IT, zdalna administracja lub działania zatwierdzone przez użytkownika.

Największe ryzyko nie wynika wyłącznie z samej zewnętrznej komunikacji Teams, ale z momentu, w którym użytkownik zatwierdza zdalną kontrolę. Gdy do tego dojdzie, atakujący mogą działać bardzo szybko — często w ciągu kilku minut — aby uzyskać szerszy dostęp, wdrożyć narzędzia i zaatakować infrastrukturę tożsamości lub domeny.

Zalecane działania

Administratorzy powinni przejrzeć zabezpieczenia w obszarach współpracy, endpointów i tożsamości:

• Wzmocnij zewnętrzny dostęp do Teams i przejrzyj zasady komunikacji między tenantami.
• Przeszkol użytkowników, aby z podejrzliwością traktowali nieoczekiwane kontakty od helpdesku lub zespołu bezpieczeństwa w Teams, szczególnie przy pierwszej wiadomości.
• Ogranicz lub monitoruj Quick Assist oraz inne narzędzia zdalnego wsparcia tam, gdzie to możliwe.
• Obserwuj podejrzane łańcuchy procesów, takie jak QuickAssist.exe uruchamiający cmd.exe lub PowerShell.
• Monitoruj aktywność ruchu bocznego z udziałem WinRM i nieoczekiwanego oprogramowania do zdalnego zarządzania.
• Przeglądaj sygnały eksfiltracji danych powiązane z narzędziami takimi jak Rclone lub nietypowymi lokalizacjami pamięci w chmurze.
• Używaj Microsoft Defender XDR, aby korelować telemetrię tożsamości, endpointów i Teams na potrzeby wcześniejszego wykrywania.

Najważniejszy wniosek

Badania Microsoft pokazują, że platformy do współpracy są dziś aktywną częścią krajobrazu włamań. Zespoły bezpieczeństwa powinny traktować podszywanie się w Teams i zatwierdzaną przez użytkownika zdalną pomoc jako ścieżki wysokiego ryzyka oraz odpowiednio zaktualizować monitoring, świadomość użytkowników i playbooki reagowania.