Компанія з кібербезпеки Arctic Wolf Labs проаналізувала понад 400 випадків, коли зловмисники використовували зовнішні чати Microsoft Teams для соціальної інженерії та початкового доступу. У повідомленнях вони зазвичай представлялися працівниками ІТ-підтримки й намагалися переконати користувача розпочати сеанс віддаленого керування комп’ютером.
За даними дослідників, атака не використовує відому вразливість Teams. Злочинці зловживають штатною функцією зовнішнього спілкування, яка дає змогу користувачам із різних організацій писати одне одному.
Щоб знизити настороженість одержувача, вони обирають імена в стилі служби підтримки та додають до них позначки, схожі на внутрішні маркування компанії.
Від 30% до 40% вивчених випадків були пов’язані зі стандартними адресами орендарів Microsoft 365 на домені onmicrosoft.com. Таку адресу можна швидко створити без окремої перевірки власного домену.
Після того як користувач вступав у розмову, зловмисники могли перейти до запуску шкідливої програми менш ніж за 15 хвилин.
Зазвичай контакту в Teams передувала поштовa бомбардування:
на робочу адресу жертви надходила безліч листів і сповіщень. Потім «працівник підтримки» пропонував допомогти з проблемою, що виникла.
Для першого підключення найчастіше застосовували вбудований у Windows засіб «Швидка допомога» (Quick Assist), який не потребує встановлення й запускається за шестизначним кодом.
Підрозділ Microsoft з аналізу загроз (Microsoft Threat Intelligence) ще у вересні описав керовану людьми кампанію з тим самим прийомом: зловмисники видавали себе за ІТ-фахівців через зовнішнє спілкування в Teams і домагалися віддаленого сеансу.
Після підключення вони запускали PowerShell, встановлювали шкідливий пакет MSI, а потім проводили розвідку комп’ютера та служби каталогів Active Directory.
Microsoft також зафіксувала, що після встановлення шкідливого компонента атакувальники робили знімки екрана, запускали додаткові програми через довірені компоненти Windows і переміщалися корпоративною мережею за допомогою служби віддаленого керування Windows (WinRM).
У квартальному огляді Microsoft сказано, що від початку року кількість щотижневих спроб голосового фішингу зросла приблизно на 80% і майже вдесятеро перевищила рівень середини 2025 року.
Головною приманкою залишалася видача себе за технічну підтримку, хоча зловмисники почали частіше використовувати нейтральні імена замість прямих назв ІТ-служб.
Компанія eSentire повідомила, що в атаках, які вона спостерігала, віддалений доступ призводив до встановлення троянів, програм для крадіжки даних і бекдорів. Ці інструменти можуть дати злочинцям змогу викрасти інформацію або розгорнути програму-вимагач.
Для захисту eSentire радить обмежити спілкування із зовнішніми доменами в Teams і дозволяти лише заздалегідь схвалені адреси. Компанія також радить перевіряти запити ІТ-підтримки через другий канал зв’язку.
Arctic Wolf доповнює ці заходи контролем засобів віддаленого керування та відстеженням зовнішніх чатів на ранньому етапі, ще до того, як користувач передасть доступ до пристрою.
