Fałszywa pomoc IT w Teams prowadzi do włamań. Nowa analiza ponad 400 incydentów

Arctic Wolf opublikował 26 października analizę ponad 400 incydentów, w których napastnicy wykorzystywali zewnętrzne czaty Microsoft Teams. Podszywali się pod firmową pomoc informatyczną i przekonywali pracowników do udostępnienia komputera. Nowy raport pokazuje powtarzalną infrastrukturę i sposób prowadzenia tych ataków.

Jak działa oszustwo

Kontakt często poprzedza zalanie skrzynki ofiary niechcianymi wiadomościami. Następnie na Teams odzywa się rzekomy pracownik IT, oferując rozwiązanie problemu. Konto pochodzi z zewnętrznego środowiska Microsoft 365, ale jego nazwa sugeruje wewnętrzny dział wsparcia.

Napastnicy używają nazw takich jak „IT Support (Internal)”, mimo że komunikator oznacza rozmówcę jako zewnętrznego. Celem jest uzyskanie zdalnego dostępu przez legalne narzędzia, między innymi Quick Assist, AnyDesk lub ScreenConnect. Taki dostęp może następnie posłużyć do instalowania złośliwego oprogramowania.

Kogo dotyczy zagrożenie

Ryzyko dotyczy organizacji dopuszczających rozmowy zewnętrzne w Teams, szczególnie tam, gdzie pracownicy zwykle otrzymują pomoc informatyczną przez komunikator. Analiza opisuje nadużycie funkcji współpracy i zaufania użytkowników, a nie nową lukę wymagającą poprawki programu.

Badacze zwracają też uwagę, że napastnicy mogą pobierać kolejne narzędzia już podczas sesji zdalnej. Sama kontrola odnośników przesyłanych na czacie nie obejmuje więc całego przebiegu ataku.

Co zrobić teraz

• Sprawdź zasady dostępu zewnętrznego Teams i ogranicz go do partnerów potrzebnych w działalności organizacji.
• Ustal prosty sposób potwierdzania tożsamości pracownika IT, na przykład przez znany numer telefonu lub firmowy system zgłoszeń.
• Ogranicz uruchamianie niezatwierdzonych narzędzi zdalnego dostępu.
• Po nagłym zalaniu skrzynki wiadomościami ostrzeż użytkownika przed następującym po nim kontaktem „pomocy technicznej”.
• Jeśli pracownik udostępnił komputer nieznanej osobie, zabezpiecz zapisy sesji i przekaż sprawę zespołowi reagowania.

Komentarz SecurHUB

Procedura weryfikacji pomocy IT powinna działać również wtedy, gdy użytkownik jest pod presją i chce szybko odzyskać dostęp do poczty. SOC 24/7 może wspierać analizę podejrzanych sesji zdalnych oraz powiązanych zdarzeń na komputerach i kontach użytkowników.

Źródła: Arctic Wolf, Techzine