Angribere udgiver sig for at være helpdesk-medarbejdere på Microsoft Teams

En økonomisk motiveret hackergruppe har misbrugt Microsoft Teams til at trænge ind i virksomhedsnetværk, ifølge forskere citeret af Cybersecurity Dive. Kampagnen har ramt snesevis af virksomheder i USA og Canada, hvor falske IT-supportpersonaer narre medarbejdere til at give fjernadgang til deres maskiner. Når de først er inde, implementerer angriberne ransomware, krypterer filer og kræver betaling.

I modsætning til mange profilerede indtrængninger knyttet til nationalstatsspionage, siger forskere, at denne operation ser ud til at være rent økonomisk. Angriberne er ikke ude efter efterretninger eller langsigtet overvågningsadgang. De vil have en udbetaling, og Microsoft Teams er blevet et praktisk værktøj til at få en.

Sådan fungerer fidusen

Taktikken er baseret på social engineering snarere end en softwaresårbarhed. Angribere kontakter medarbejdere via Microsoft Teams og udgiver sig for at være intern IT-support. Fordi Teams er et betroet, dagligt kommunikationsværktøj i de fleste organisationer, er medarbejdere langt mere tilbøjelige til at sænke paraderne, end hvis de modtog en uopfordret e-mail eller et telefonopkald fra et ukendt nummer.

Når en medarbejder er overbevist om, at de taler med legitim IT-support, overtaler angriberen dem til at give fjernadgang til deres computer, ofte under dække af at løse et teknisk problem. Derfra kan indtrængerne bevæge sig sidelæns på tværs af netværket, høste legitimationsoplysninger og i sidste ende implementere ransomware på tværs af delte systemer og servere.

Denne tilgang afspejler en bredere tendens inden for cyberkriminalitet: angribere foretrækker i stigende grad efterligning og udnyttelse af tillid frem for tekniske exploits, fordi det ofte er lettere at overbevise en person om at åbne døren, end det er at bryde en firewall ned.

Privatlivets følger af et ransomware-brud

Selvom ransomware typisk betragtes som et problem for forretningskontinuitet, er krypterede filer og låste systemer kun en del af historien. Disse kampagner involverer ofte dataeksfiltrering, før krypteringen overhovedet begynder, hvilket betyder, at medarbejderregistre, kundeoplysninger og intern kommunikation allerede kan være i angribernes hænder, når en løsesumseddel vises.

Disse data forsvinder ikke nødvendigvis, når en løsesum er betalt eller et system er gendannet. De kan sælges, lækkes eller holdes til fremtidig afpresning. Konsekvenserne rækker langt ud over den kompromitterede virksomhed. Medarbejdere, hvis legitimationsoplysninger blev høstet, kunder, hvis oplysninger var gemt på kompromitterede servere, og partnere, der udvekslede følsomme filer, kan alle blive eksponeret.

Infrastrukturen bag disse kampagner afhænger ofte af hostingudbydere, der er villige til at vende det blinde øje til. Retshåndhævelse har bemærket dette problem andre steder: Hollandske myndigheder har for nylig beslaglagt 800 servere og anholdt to personer knyttet til en bulletproof hosting-operation, der har understøttet cyberkriminel aktivitet, en påmindelse om, at ransomware-kampagner sjældent opererer i isolation. De er afhængige af et bredere økosystem af hosting-, hvidvask- og distributionstjenester, der strækker sig over landegrænser.

Hvad dette betyder for dig

Hvis din organisation bruger Microsoft Teams, og det gør de fleste, er denne kampagne en direkte advarsel om, at interne chatplatforme nu er levedygtige angrebsvektorer, ikke kun e-mailindbakker. IT-afdelinger bør behandle uopfordrede Teams-beskeder fra "support"-kontakter med den samme mistænksomhed, som typisk er forbeholdt phishing-e-mails.

For individuelle medarbejdere er lektien enkel: legitim IT-support tager sjældent kontakt på denne måde, og de beder næsten aldrig om at give fjernadgang på stedet uden forudgående bekræftelse via et kendt billetsystem eller en intern kanal. Hvis noget føles stressende eller usædvanligt presserende, er denne uopsættelighed ofte advarselssignalet.

For virksomheder, der håndterer kunde- eller medarbejderdata, understreger denne kampagne også, hvorfor dataminimering og netværkssegmentering er vigtigt. At begrænse, hvor meget følsomme oplysninger der ligger på et enkelt tilgængeligt system, reducerer, hvad en angriber kan udtrække, selv hvis de kommer forbi den første forsvarslinje.

Praktiske trin til at reducere din risiko

  • Bekræft enhver IT-supportkontakt gennem et officielt billetsystem eller en kendt intern telefonlinje, før du giver fjernadgang til din enhed.
  • Aktivér flerfaktorautentificering på tværs af Teams, e-mail og fjernadgangsværktøjer, så en enkelt kompromitteret legitimationsoplysning ikke er nok til at bevæge sig sidelæns.
  • Træn medarbejdere specifikt i efterligningstaktikker via Teams, ikke kun e-mail-phishing, da angribere tydeligvis diversificerer deres indgangspunkter.
  • Segmentér følsomme data og begræns administrative rettigheder, så en enkelt kompromitteret konto ikke kan nå hele netværket.
  • Vedligehold offline, testede sikkerhedskopier, så ransomware-krav mister deres magt.

Denne ransomware-kampagne via Microsoft Teams er en påmindelse om, at angribere går derhen, hvor der allerede findes tillid. Efterhånden som organisationer i stigende grad læner sig op ad samarbejdsplatforme til daglige operationer, bliver de samme værktøjer attraktive mål for efterligning. At være opmærksom på uventede "support"-anmodninger, bekræfte identiteter gennem separate kanaler og holde sikkerhedstræning opdateret er enkle, men effektive måder at være et skridt foran.