Cross-tenant Teams lažno predstavljanje napad

Uvod

Microsoft je objavio novo istraživanje pretnji koje opisuje kako napadači zloupotrebljavaju spoljne Microsoft Teams razgovore da bi se predstavili kao IT ili helpdesk osoblje. Za IT i bezbednosne timove, ovo je važan podsetnik da moderni phishing i social engineering više ne počinju samo putem e-pošte — mogu započeti unutar pouzdanih alata za saradnju i brzo eskalirati u kompromitovanje celog preduzeća.

Šta je novo

Microsoftov izveštaj prikazuje kompletan human-operated intrusion playbook koji počinje cross-tenant Teams porukama, a završava se data exfiltration.

Lanac napada koji je istakao Microsoft

• Početni kontakt preko Teams: Napadači se predstavljaju kao osoblje podrške koristeći eksternu Teams komunikaciju.
• Uporište kroz udaljenu pomoć: Žrtve se ubeđuju da pokrenu Quick Assist ili slične alate za udaljenu podršku i odobre pristup.
• Reconnaissance i potvrda pristupa: Napadači brzo proveravaju korisničke privilegije, detalje sistema i nivo pristupa.
• Zloupotreba pouzdanih aplikacija: Aplikacije potpisane od strane dobavljača pokreću se sa modulima koje obezbeđuje napadač kako bi izvršile maliciozni kod.
• Command and control: Napadači uspostavljaju postojan pristup dok se uklapaju u uobičajene administrativne aktivnosti.
• Lateral movement: Izvorni alati kao što je WinRM koriste se za dalje kretanje ka vrednim resursima, uključujući domain controllers.
• Naknadni alati: Može biti postavljen komercijalni softver za udaljeno upravljanje kao što je Level RMM.
• Data exfiltration: Alati kao što je Rclone koriste se za pripremu i prenos osetljivih podataka u spoljašnje cloud skladište.

Zašto je ovo važno za administratore

Ova kampanja je posebno značajna zato što se u velikoj meri oslanja na legitimne Microsoft i third-party alate, a ne na očigledan malware. To otežava detekciju i povećava verovatnoću da će aktivnosti izgledati kao rutinska IT podrška, udaljena administracija ili radnje koje je korisnik odobrio.

Najveći rizik nije samo samo eksterno Teams dopisivanje, već trenutak kada korisnik odobri udaljenu kontrolu. Kada se to dogodi, napadači mogu brzo — često u roku od nekoliko minuta — da uspostave širi pristup, postave alate i ciljaju identity ili domensku infrastrukturu.

Preporučene aktivnosti

Administratori bi trebalo da preispitaju kontrole u oblastima saradnje, endpoint i identity bezbednosti:

• Ojačajte eksterni Teams pristup i pregledajte politike cross-tenant komunikacije.
• Obučite korisnike da sa sumnjom posmatraju neinicirane helpdesk ili bezbednosne kontakte u Teams, posebno poruke pri prvom kontaktu.
• Ograničite ili nadgledajte Quick Assist i druge alate za udaljenu podršku gde god je to moguće.
• Pratite sumnjive lance procesa kao što su QuickAssist.exe nakon kojih slede cmd.exe ili PowerShell.
• Nadgledajte aktivnosti lateral movement koje uključuju WinRM i neočekivani softver za udaljeno upravljanje.
• Pregledajte signale data exfiltration povezane sa alatima kao što je Rclone ili neuobičajenim cloud destinacijama za skladištenje.
• Koristite Microsoft Defender XDR za povezivanje identity, endpoint i Teams telemetry podataka radi ranijeg otkrivanja.

Suština

Microsoftovo istraživanje pokazuje da su platforme za saradnju sada deo aktivnog pejzaža upada. Bezbednosni timovi treba da tretiraju Teams-zasnovano lažno predstavljanje i udaljenu pomoć koju odobrava korisnik kao visokorizične puteve i da u skladu s tim ažuriraju nadzor, svest korisnika i response playbooks.