La società di sicurezza Arctic Wolf ha pubblicato il 26 ottobre un’analisi di oltre 400 incidenti in cui i criminali hanno sfruttato la chat esterna di Microsoft Teams per presentarsi come l’helpdesk aziendale. Il falso supporto IT su Teams non sfrutta alcuna vulnerabilità: si basa sull’accesso esterno (federazione), una funzione attiva per impostazione predefinita che consente a utenti di altre organizzazioni di avviare chat e chiamate con i dipendenti.
Come funziona il falso supporto IT su Teams
Secondo Arctic Wolf, tra il 30 e il 40% dei casi gli attaccanti hanno usato tenant predefiniti con dominio *.onmicrosoft.com, mentre negli altri hanno registrato domini a pagamento: circa la metà con estensione .top, circa il 40% .com e poco più del 5% domini multilivello come .com.pl, .com.vn o .com.br. I nomi visualizzati imitano il supporto interno, come “IT Support (Internal)”, spesso accompagnati da un nome proprio dal suono amichevole; l’etichetta “(Internal)” serve a ridurre l’efficacia degli avvisi che Teams mostra per gli utenti esterni.
Dalla chat al controllo remoto del PC
Il contatto su Teams è spesso preceduto da un “mail bombing”, cioè l’invio massiccio di email alla casella della vittima, che rende più credibile l’offerta di aiuto. Seguono chiamate vocali all’interno di Teams e la richiesta di installare o avviare uno strumento di assistenza remota: Quick Assist è il più usato, ma Arctic Wolf ha osservato anche AnyDesk, ScreenConnect, TeamViewer, Atera, Zoho Assist, NetSupport e LogMeIn, talvolta con un secondo strumento di gestione remota per mantenere l’accesso.
Gli attaccanti agiscono rapidamente: possono contattare più utenti della stessa azienda nel giro di circa cinque minuti e, secondo le segnalazioni dei clienti, eseguire il codice malevolo in meno di 15 minuti dall’interazione con la vittima. Spesso evitano di incollare link nella chat, probabilmente per non essere intercettati dalle protezioni come Safe Links. In un caso descritto, un comando PowerShell ha scaricato un pacchetto MSI da Azure Blob Storage, che ha avviato un loader e poi un impianto in Python usato per interrogare Active Directory e inviare i risultati a un server di comando e controllo.
Una tecnica già associata ai gruppi ransomware
Arctic Wolf ricorda che la tecnica è stata documentata da Microsoft a metà 2024 nelle operazioni legate al ransomware BlackBasta (Storm-1811) ed è stata poi osservata in attività collegate ad altri gruppi come Cactus, 3AM e Chaos. Su questo sito abbiamo già raccontato l’abuso di Teams da parte di Payouts King, il ransomware erede di BlackBasta e una campagna di phishing basata su inviti Teams apparentemente legittimi.
Come difendersi
Tra le contromisure indicate da Arctic Wolf:
- limitare l’accesso esterno di Teams ai soli domini di partner fidati (Teams admin center > Utenti > Accesso esterno, opzione “Consenti solo domini esterni specifici”) e bloccare la comunicazione con account non gestiti;
- bloccare i tenant di prova con il comando PowerShell
Set-CsTenantFederationConfiguration -ExternalAccessWithTrialTenants "Blocked"; - abilitare l’opzione che consente al team di sicurezza di gestire i domini bloccati tramite la Tenant Allow/Block List di Microsoft Defender;
- limitare o disattivare Quick Assist dove non serve e bloccare gli strumenti di accesso remoto non autorizzati;
- formare i dipendenti a verificare sempre, attraverso un canale separato, ogni richiesta di assistenza remota, soprattutto se arriva da un contatto esterno dopo un’ondata improvvisa di email.
Per approfondire un’altra tecnica di abuso dei servizi Microsoft: Phishing via Microsoft: Kaspersky segnala l’abuso del Device Code Flow.
Fonti: Arctic Wolf; The Hacker News
