Pesquisadores de segurança cibernética estão chamando a atenção para o que dizem ser um "padrão recorrente de engenharia social" em centenas de casos nos quais atores de ameaças usam o recurso de criação de chat externo do Microsoft Teams para aplicar golpes de personificação ou distribuir malware.
"Um padrão consistente de comportamento dos atacantes surgiu nesses incidentes: o uso dos mesmos locatários descartáveis, dos mesmos nomes de exibição 'IT Support (Internal)', das mesmas ferramentas de acesso remoto e, cada vez mais, dos mesmos domínios de carga maliciosa", afirmou a Arctic Wolf Labs em um relatório compartilhado com o The Hacker News.
Os ataques empregam com frequência nomes de exibição com temática de TI ou nomes próprios amigáveis para burlar os alertas de usuários externos no Teams. Essas mensagens partem de identidades do Teams criadas ou adquiridas em locatários recém-criados ou comprados do Microsoft 365.
Quase 30% a 40% dos casos investigados pela empresa de segurança cibernética envolvem o uso de *.onmicrosoft[.]com, um domínio de contingência permanente gerado automaticamente pela Microsoft quando um locatário do Microsoft 365 é criado. Esses domínios se passam por infraestrutura de TI e escolhem como nome do locatário uma palavra ligada a central de ajuda ou suporte para aumentar sua credibilidade:
- helpdeskteam365.onmicrosoft[.]com
- itendpoint365.onmicrosoft[.]com
- itcoreportal.onmicrosoft[.]com
- itadmin922.onmicrosoft[.]com
- corporateitservicellc.onmicrosoft[.]com
Como observado em muitos casos anteriores, essas sessões do Teams são precedidas por bombardeio de e-mails, em que a caixa de entrada da vítima é inundada com centenas de confirmações de newsletters ou assinaturas em um curto período. A abordagem visa provocar uma falsa sensação de urgência, e a mensagem de suporte de TI pelo Teams chega logo em seguida para "resolver" o problema.
Alguns dos nomes de exibição observados pela Arctic Wolf em diferentes casos estão listados abaixo:
- Help Desk
- IT Support
- HelpDesk Manager
- IT Service Desk - Liam / IT Service Desk (Liam)
- IT Service Desk - Matt / IT Service Desk - Scott
- IT Support - Christopher Thomas
- HelpDesk Supervisor
- Enterprise IT & Security (Internal)
- IT Tech Support Internal
- Business IT Solutions & Support (Internal)
- Maintenance Service
- IT-Representative
- IT/Help Desk
Em iterações recentes, os atacantes passaram a incluir o domínio ou o nome da empresa-alvo no nome de exibição para dar mais legitimidade às mensagens.
"Também observamos uma recente mudança para domínios de nível superior pagos (TLD, do inglês top-level domain) na criação de locatários", afirmou a Arctic Wolf. "Dos domínios pagos que identificamos nesse tipo de golpe nos últimos meses, cerca de 50% das identidades falsas usaram o TLD .top, cerca de 40% usaram um domínio .com padrão e pouco mais de 5% usaram domínios de múltiplos níveis, como .com.pl, .com.vn e .com.br."
A atividade é semelhante à do STAC4749, que tem histórico de criar domínios de nuvem com temática de TI sob o TLD ".top" e de aproveitar nomes de usuário de funcionários plausíveis para fazer as contas parecerem autênticas. Esses ataques levaram à implantação do ransomware Chaos, segundo a Sophos.
Os ataques têm como alvo específico organizações que mantêm o acesso externo habilitado. Também envolvem um elemento de vishing (phishing por voz), usado para convencer as vítimas a conceder acesso direto ao teclado por meio de uma ferramenta legítima de gerenciamento e monitoramento remoto (RMM, do inglês remote monitoring and management), como Quick Assist, AnyDesk, ScreenConnect (ConnectWise), TeamViewer, Atera, Zoho Assist, NetSupport e LogMeIn.
O acesso remoto é usado para fazer reconhecimento, implantar cargas adicionais, como o backdoor GoGRPC, facilitar a movimentação lateral até controladores de domínio e instalar ferramentas RMM adicionais, como o Level, para redundância, antes de exfiltrar dados sensíveis e implantar o binário do ransomware.
"Em um subconjunto de casos, os atacantes aproveitaram as notas da Microsoft", afirmou a Arctic Wolf. "Os atacantes geralmente evitam colar uma URL diretamente no Teams, o que acionaria a varredura do Safe Links e do ZAP (recursos de proteção da Microsoft), e preferem navegar até a carga maliciosa por conta própria durante a sessão remota. Consequentemente, a telemetria de dispositivos finais (endpoints) e de identidades é uma superfície de monitoramento essencial, ao lado da varredura de mensagens."
Em um caso identificado pelo fornecedor de segurança cibernética, o ator de ameaça teria instruído o usuário a executar um comando PowerShell para baixar um arquivo e em seguida iniciá-lo. O comando foi projetado para baixar um instalador MSI (pacote de instalação do Windows) do Microsoft Azure Blob Storage.
Quando a vítima executa o instalador, ele inicia um script PowerShell responsável por extrair e executar um implante em Python incorporado a ele. O backdoor então executa outra transação MSI, que emite consultas LDAP (protocolo leve de acesso a diretórios) ao Active Directory para todos os objetos de computadores e usuários e, em seguida, transmite as informações a um servidor externo.
"O chat externo do Microsoft Teams se tornou um vetor de acesso inicial eficaz porque explora a confiança, e não uma vulnerabilidade de software", afirmou a Arctic Wolf.
"Em toda a atividade examinada, os atacantes combinaram bombardeio de e-mails, personificação convincente de suporte de TI, locatários e domínios recém-criados e engenharia social rápida para levar as vítimas de um chat aparentemente rotineiro ao acesso remoto, à execução de cargas maliciosas e, em alguns casos, a um comprometimento mais amplo."
