Arctic Wolf Labs identificó un patrón repetido en cientos de incidentes. Los atacantes usan los chats externos de Microsoft Teams para hacerse pasar por la mesa de ayuda interna y entregar malware. Afecta a cualquier organización con Microsoft 365 que permita conversaciones con usuarios de otros inquilinos (tenants) de Teams, y en algunos casos ha terminado en ransomware.
El ataque suele empezar con un bombardeo de correo: el buzón de la víctima recibe cientos de suscripciones y boletines en pocos minutos. Poco después llega un mensaje de Teams de «IT Support (Internal)», «Help Desk» o «IT Service Desk – Liam», que ofrece resolver el problema. Los mensajes provienen de tenants de Microsoft 365 recién creados o comprados. Entre el 30 % y el 40 % de los casos usan dominios *.onmicrosoft.com con nombres creíbles, como helpdeskteam365 o itcoreportal. En versiones recientes, los atacantes agregan al nombre visible el dominio o el nombre de la empresa víctima. También crecen los dominios pagos: cerca del 50 % usa el dominio de nivel superior (TLD) .top y alrededor del 40 % usa .com.
Tras ganar la confianza del usuario, a menudo por llamada (vishing), el atacante le pide abrir una herramienta legítima de administración remota (RMM). Entre ellas figuran Quick Assist, AnyDesk, ScreenConnect, TeamViewer, Atera, Zoho Assist, NetSupport y LogMeIn. Para evadir el análisis de Safe Links y ZAP (la purga automática de mensajes maliciosos), evitan pegar enlaces en el chat. En su lugar, navegan ellos mismos hasta la carga maliciosa durante la sesión remota. En un caso, la víctima ejecutó un comando PowerShell que descargó un instalador MSI desde Azure Blob Storage. Ese instalador desplegó un implante en Python que consultó por LDAP (el protocolo de directorio) todos los usuarios y equipos de Active Directory y envió la información a un servidor externo.
Con el acceso remoto, los atacantes hacen reconocimiento, instalan la puerta trasera GoGRPC y se mueven hacia los controladores de dominio. Además, agregan otras herramientas RMM, como Level, para mantener la persistencia. Después extraen datos sensibles y ejecutan el ransomware. La actividad coincide con el grupo STAC4749, al que Sophos vincula con despliegues del ransomware Chaos. Como señala Arctic Wolf, el vector no explota una vulnerabilidad de software sino la confianza del usuario, así que no hay parche que lo resuelva.
Las mitigaciones son de configuración y de proceso. Restrinja el acceso externo de Teams a una lista de dominios aprobados y bloquee los tenants *.onmicrosoft.com que no tengan relación con su negocio. Defina una sola lista de herramientas RMM autorizadas, bloquee las demás y deshabilite Quick Assist si no lo usa. Vigile la ejecución de PowerShell que descarga archivos y las consultas LDAP masivas desde equipos de usuario. Comunique a sus colaboradores que la mesa de ayuda nunca los contacta por un chat externo. Trate cualquier bombardeo de correo como un posible preludio de suplantación.
Qué significa para tu empresa: esta semana revise si Teams acepta chats de cualquier organización externa y limítelo a socios conocidos. Como el atacante evita el correo y opera dentro de la sesión remota, la detección recae en el equipo del usuario. Una protección de endpoints EDR/XDR bien configurada detecta herramientas RMM no autorizadas, PowerShell sospechoso y enumeración de Active Directory antes de que llegue el cifrado. Verifique que sus reglas cubran esos comportamientos y no solo firmas de malware conocido.
Fuente original: The Hacker News — ver artículo →