Microsoft Teams vishing napadi preko Quick Assist

Uvod

Najnoviji izveštaj iz Microsoft Cyberattack Series predstavlja pravovremeno upozorenje za bezbednosne timove: napadačima nije uvek potrebna nezakrpljena ranjivost da bi stekli pristup. U ovom slučaju, akter pretnje je koristio voice phishing preko Microsoft Teams, lažno se predstavljao kao IT podrška i ubedio zaposlenog da dozvoli udaljeni pristup putem Quick Assist, pretvarajući rutinske tokove saradnje i podrške u ulaznu tačku.

Šta se dogodilo

Prema navodima Microsoft Incident Response (DART), napad je počeo upornim vishing pokušajima preko Microsoft Teams. Nakon dva neuspešna pokušaja, napadač je ubedio trećeg zaposlenog da odobri Quick Assist sesiju.

Kada je veza uspostavljena, akter pretnje je brzo delovao:

• Usmerio korisnika na zlonamerni veb-sajt pod kontrolom napadača
• Prikupio korporativne akreditive putem lažiranog obrasca za prijavu
• Preuzeo više zlonamernih payload-a na uređaj
• Koristio prikriveni MSI paket za sideloading zlonamernog DLL-a
• Uspostavio command-and-control koristeći pouzdane Windows mehanizme
• Proširio pristup pomoću šifrovanih loader-a, izvršavanja udaljenih komandi, prikupljanja akreditiva i otmice sesije

Microsoft je naveo da se napadač u velikoj meri oslanjao na legitimne administrativne alate i tehnike osmišljene da se uklope u uobičajene aktivnosti u preduzeću.

Zašto je ovo važno za IT i bezbednosne timove

Ovaj incident odražava rastući obrazac identity-first napada u kojem je poverenje primarna meta. Platforme za saradnju kao što je Teams mogu biti zloupotrebljene za stvaranje osećaja hitnosti i legitimnosti, posebno kada korisnici veruju da komuniciraju sa internim osobljem podrške.

Za administratore, ključna poruka je da ugrađeni alati kao što je Quick Assist i uobičajeni uslužni programi za udaljeno upravljanje mogu postati visokorizični kada je upravljanje slabo. Tradicionalne odbrane koje su uglavnom fokusirane na malware potpise ili detekciju eksploita mogu propustiti socijalni inženjering u ranoj fazi i hands-on-keyboard aktivnosti.

Microsoft odgovor

DART je potvrdio da je kompromis potekao iz uspešne Teams vishing interakcije i preduzeo mere za obuzdavanje pretnje pre nego što je mogla dalje da se proširi. Microsoft navodi da:

• Aktivnost je bila kratkotrajna i ograničenog obima
• Timovi koji su reagovali bili su fokusirani na zaštitu privilegovanih resursa i ograničavanje lateralnog kretanja
• Forenzička analiza nije pronašla preostale mehanizme postojanosti
• Širi ciljevi napadača nisu ostvareni

Preporučeni naredni koraci

Organizacije bi trebalo odmah da preispitaju i kontrole saradnje i kontrole udaljenog pristupa:

• Ograničite dolaznu Teams komunikaciju sa neupravljanih spoljašnjih naloga
• Razmotrite allowlisting pouzdanih spoljašnjih domena za Teams kontakt
• Napravite inventar alata za daljinski monitoring i udaljenu podršku koji se koriste
• Uklonite ili onemogućite Quick Assist tamo gde nije potreban
• Obučite korisnike da proveravaju zahteve IT podrške kroz odobrene interne kanale
• Nadgledajte sumnjivu upotrebu legitimnih administrativnih alata i neuobičajene udaljene sesije

Suština

Ovaj izveštaj je jasan podsetnik da moderne intruzije često počinju ubeđivanjem, a ne eksploatacijom. Bezbednosni timovi treba da ojačaju spoljašnji Teams pristup, smanje nepotrebne alate za udaljenu podršku i unaprede procese verifikacije korisnika kako bi napade zasnovane na poverenju učinili težim za izvođenje.