Teams-vishingangreb via Quick Assist: Microsoft advarer

Introduktion

Microsofts seneste rapport i Cyberattack Series er en rettidig advarsel til sikkerhedsteams: Angribere behøver ikke altid en upatchet sårbarhed for at få adgang. I dette tilfælde brugte en trusselsaktør voice phishing via Microsoft Teams, udgav sig for at være IT-support og overbeviste en medarbejder om at tillade fjernadgang gennem Quick Assist — hvilket gjorde almindelige samarbejds- og supportarbejdsgange til et indgangspunkt.

Hvad skete der

Ifølge Microsoft Incident Response (DART) begyndte angrebet med vedvarende vishing via Microsoft Teams. Efter to mislykkede forsøg overtalte angriberen en tredje medarbejder til at godkende en Quick Assist-session.

Da forbindelsen først var oprettet, handlede trusselsaktøren hurtigt:

• Instruerede brugeren i at gå til et ondsindet website kontrolleret af angriberen
• Opfangede virksomhedslegitimationsoplysninger gennem en forfalsket sign-in-formular
• Downloadede flere ondsindede payloads til enheden
• Brugte en forklædt MSI-pakke til at sideloade en ondsindet DLL
• Etablerede command-and-control ved hjælp af betroede Windows-mekanismer
• Udvidede adgangen med krypterede loaders, ekstern kommandoeksekvering, høst af legitimationsoplysninger og session hijacking

Microsoft bemærkede, at angriberen i høj grad benyttede legitime administrative værktøjer og teknikker, der er designet til at falde ind i normal virksomhedsaktivitet.

Hvorfor dette er vigtigt for IT- og sikkerhedsteams

Denne hændelse afspejler et voksende identity-first-angrebsmønster, hvor tillid er det primære mål. Samarbejdsplatforme som Teams kan misbruges til at skabe hastværk og legitimitet, især når brugere tror, at de interagerer med internt supportpersonale.

For administratorer er den vigtigste pointe, at indbyggede værktøjer som Quick Assist og almindelige værktøjer til remote management kan blive højrisiko, når styringen er svag. Traditionelle forsvar, der primært fokuserer på malware-signaturer eller exploit-detektion, kan overse social engineering i de tidlige faser og hands-on-keyboard-aktivitet.

Microsofts respons

DART bekræftede, at kompromitteringen stammede fra en vellykket Teams-vishinginteraktion, og handlede for at inddæmme truslen, før den kunne brede sig yderligere. Microsoft oplyser, at:

• Aktiviteten var kortvarig og begrænset i omfang
• Responders fokuserede på at beskytte privilegerede aktiver og begrænse lateral movement
• Forensisk analyse fandt ingen tilbageværende persistensmekanismer
• Angriberens bredere mål blev ikke opnået

Anbefalede næste skridt

Organisationer bør straks gennemgå både samarbejds- og fjernadgangskontroller:

• Begræns indgående Teams-kommunikation fra ikke-administrerede eksterne konti
• Overvej allowlisting af betroede eksterne domæner til Teams-kontakt
• Kortlæg værktøjer til remote monitoring og remote support, der er i brug
• Fjern eller deaktiver Quick Assist, hvor det ikke er nødvendigt
• Træn brugere i at verificere IT-supportanmodninger gennem godkendte interne kanaler
• Overvåg mistænkelig brug af legitime admin-værktøjer og usædvanlige fjernsessioner

Konklusion

Denne rapport er en klar påmindelse om, at moderne kompromitteringer ofte begynder med overtalelse, ikke udnyttelse. Sikkerhedsteams bør styrke ekstern adgang i Teams, reducere unødvendige værktøjer til remote support og styrke brugerprocesser for verifikation for at gøre tillidsbaserede angreb sværere at udføre.