Fałszywy dział IT w Microsoft Teams: Arctic Wolf opisuje setki ataków

Arctic Wolf Labs opisuje setki przypadków, w których przestępcy podszywają się w Microsoft Teams pod wewnętrzny dział IT, żeby zainstalować złośliwe oprogramowanie albo ransomware. Atak zaczyna się od zalania skrzynki ofiary setkami newsletterów i potwierdzeń subskrypcji. Wkrótce potem w Teams przychodzi wiadomość od „IT Support (Internal)” z propozycją rozwiązania problemu. Napastnicy korzystają z funkcji czatu z użytkownikami zewnętrznymi, z nowo założonych lub przejętych kont Microsoft 365 i powtarzalnie z tych samych narzędzi zdalnego dostępu oraz domen z ładunkiem.

Kogo dotyczy

Dotyczy to firm korzystających z Microsoft Teams, w których pracownicy mogą dostawać wiadomości od osób spoza organizacji. W 30 do 40 proc. zbadanych przypadków nadawca używał domeny *.onmicrosoft.com, którą Microsoft tworzy automatycznie przy zakładaniu konta Microsoft 365, z nazwą sugerującą helpdesk albo wsparcie techniczne. W nowszych atakach nazwa wyświetlana zawiera domenę lub nazwę atakowanej firmy, a konta coraz częściej zakłada się w płatnych domenach najwyższego poziomu.