Ataki podszywające się pod pomoc techniczną są wymierzone w platformę Microsoft Teams i wykorzystują legalne narzędzia.
Podszywanie się pod pomoc techniczną znów atakuje Microsoft Teams. Dowiedz się, jak hakerzy wykorzystują legalne narzędzia do ukrywania ataków i uzyskaj wskazówki, jak chronić swoją organizację już dziś!
Najważniejsze rzeczy, które musisz wiedzieć
- Ataki polegające na podszywaniu się pod pomoc techniczną obejmują wiele etapów, począwszy od użycia złośliwego oprogramowania, przez ekstrakcję danych, aż po oprogramowanie wymuszające okup, wykorzystujące natywne narzędzia, takie jak ADSI, do ruchu bocznego.
- Wiele grup stanowiących zagrożenie, takich jak Cozy Bear, FIN7 i ShinyHunters, korzysta z technik podszywania się pod pracowników pomocy technicznej w ramach Teams, przy czym niektóre z nich koncentrują się na kradzieży danych, a nie na atakach ransomware.
- Firma Microsoft zaleca podnoszenie świadomości użytkowników i sprawdzanie, czy nie otrzymują niechcianej korespondencji od pomocy technicznej, a także korzystanie z programu Microsoft Defender dla pakietu Office 365 oraz funkcji Safe Links i ZAP w celu neutralizowania zagrożeń.
Microsoft ostrzega przed trwającą kampanią hakerską, która zaczyna się od komunikatu na platformie Teams, a kończy się infekcją ransomware i kradzieżą danych.
W nowym, szczegółowym raporcie opublikowanym na blogu firmy Microsoft stwierdzono, że nieznani sprawcy zagrożeń kontaktowali się ze swoimi ofiarami w różnych firmach za pośrednictwem czatu w aplikacji Teams, podszywając się pod pracowników pomocy technicznej.
Zmuszali swoje ofiary do udzielenia zdalnego dostępu za pomocą narzędzi do udostępniania ekranu lub zdalnego monitorowania i zarządzania, a po uzyskaniu dostępu wykorzystywali go do instalowania programów pobierających złośliwe oprogramowanie i innych rodzajów złośliwego oprogramowania.
Jak bronić się przed atakami phishingowymi za pośrednictwem Teams
Szkodliwe oprogramowanie było tylko pierwszym etapem ataku. Kolejne etapy obejmowały rozpoznanie hosta, odkrycie produktów zabezpieczających i wirtualizacyjnych oraz „okresowe przechwytywanie ekranu pulpitu” – innymi słowy, mapowanie środowiska i prowadzenie nadzoru.
Następnie oszuści wyliczają konta domen, serwery i użytkowników, korzystając z natywnych narzędzi i zapytań Active Directory Service Interfaces (ADSI), po czym zaczynają działać w sposób niejawny.
Ostatnim krokiem jest zidentyfikowanie i wyodrębnienie cennych danych, po czym następuje zainfekowanie ich oprogramowaniem typu ransomware.
Microsoft nie wymienia nazwisk sprawców, często nazywając ich „aktorami zagrożenia”. Ma to sens, ponieważ technika „fałszywego wsparcia technicznego za pośrednictwem Teams” jest obecnie wykorzystywana przez wiele grup. Rosyjskie grupy Cozy Bear, FIN7 i Storm-1811 to chyba najbardziej oczywiste przykłady.
Największa na świecie grupa zajmująca się wymuszeniami, ShinyHunters, znana jest również z wykorzystywania Teamsów do wyłudzania od ofiar dostępu. Jednak grupa ta rzadko stosuje oprogramowanie szyfrujące, koncentrując się wyłącznie na kradzieży danych.
Niezależnie od tego, kim są atakujący i jakie mają cele, jedno jest pewne: ryzyko w środowisku korporacyjnym nigdy nie było większe.
Z tego powodu firma Microsoft zaleca podniesienie świadomości użytkowników poprzez utworzenie wewnętrznych fraz uwierzytelniania pomocy technicznej i przeszkolenie pracowników w zakresie rozpoznawania wskaźników zewnętrznych.
Microsoft apeluje również do firm o zbadanie każdego niechcianego kontaktu z pomocą techniczną i wzmocnienie zabezpieczeń Microsoft Teams oraz poczty e-mail przed atakami socjotechnicznymi. Microsoft zaleca: „Używaj programu Microsoft Defender dla usługi Office 365 z funkcjami Bezpieczne Linki i automatyczne czyszczenie w godzinach zerowych (ZAP), aby mieć pewność, że złośliwe wiadomości i adresy URL zostaną zneutralizowane w momencie kliknięcia i usunięte po dostarczeniu”.
Możliwość dodawania komentarzy nie jest dostępna.