Атака через impersonation в Teams между tenants

Введение

Microsoft опубликовала новое исследование угроз, в котором описывается, как злоумышленники злоупотребляют внешними чатами Microsoft Teams, выдавая себя за IT-специалистов или сотрудников helpdesk. Для IT- и security-команд это важное напоминание: современный phishing и social engineering больше не начинаются только с email — они могут стартовать внутри доверенных инструментов совместной работы и быстро привести к компрометации всей корпоративной среды.

Что нового

В отчёте Microsoft описан полный сценарий intrusion-атаки с участием оператора, который начинается с межтенантных сообщений Teams и заканчивается эксфильтрацией данных.

Цепочка атаки, выделенная Microsoft

• Первичный контакт через Teams: злоумышленники выдают себя за сотрудников поддержки, используя внешнюю коммуникацию Teams.
• Точка входа через удалённую помощь: жертв убеждают запустить Quick Assist или аналогичные инструменты удалённой поддержки и одобрить доступ.
• Разведка и проверка: злоумышленники быстро проверяют привилегии пользователя, сведения о системе и уровень доступа.
• Злоупотребление доверенными приложениями: приложения, подписанные вендором, запускаются с модулями, предоставленными злоумышленником, для выполнения вредоносного кода.
• Command and control: злоумышленники устанавливают постоянный доступ, маскируя активность под обычные административные действия.
• Боковое перемещение: встроенные инструменты, такие как WinRM, используются для продвижения к ценным активам, включая контроллеры домена.
• Дополнительные инструменты: может разворачиваться коммерческое ПО для удалённого управления, например Level RMM.
• Эксфильтрация данных: такие утилиты, как Rclone, используются для подготовки и переноса конфиденциальных данных во внешние облачные хранилища.

Почему это важно для администраторов

Эта кампания примечательна тем, что в ней активно используются легитимные инструменты Microsoft и сторонних поставщиков, а не очевидное вредоносное ПО. Это усложняет обнаружение и повышает вероятность того, что активность будет выглядеть как стандартная IT-поддержка, удалённое администрирование или действия, одобренные пользователем.

Главный риск связан не только с самой внешней перепиской в Teams, но и с моментом, когда пользователь одобряет удалённое управление. После этого злоумышленники могут действовать очень быстро — зачастую в течение нескольких минут — чтобы получить более широкий доступ, развернуть инструменты и нацелиться на инфраструктуру идентификации или домена.

Рекомендуемые действия

Администраторам следует пересмотреть меры контроля в области совместной работы, endpoint- и identity-безопасности:

• Усильте защиту внешнего доступа Teams и пересмотрите политики межтенантного взаимодействия.
• Обучите пользователей с подозрением относиться к непрошенным обращениям от helpdesk или security-службы в Teams, особенно при первом контакте.
• Ограничьте или отслеживайте Quick Assist и другие инструменты удалённой поддержки, где это возможно.
• Отслеживайте подозрительные цепочки процессов, например QuickAssist.exe с последующим запуском cmd.exe или PowerShell.
• Контролируйте активность бокового перемещения с использованием WinRM и неожиданного ПО для удалённого управления.
• Проверяйте сигналы эксфильтрации данных, связанные с такими инструментами, как Rclone, или с необычными направлениями облачного хранения.
• Используйте Microsoft Defender XDR для корреляции телеметрии identity, endpoint и Teams с целью более раннего обнаружения.

Итог

Исследование Microsoft показывает, что платформы совместной работы теперь стали частью активного ландшафта intrusion-атак. Командам безопасности следует рассматривать impersonation через Teams и одобренную пользователем удалённую помощь как высокорисковые векторы и соответствующим образом обновить мониторинг, обучение пользователей и сценарии реагирования.