Atakujący podszywają się pod pracowników działu pomocy technicznej w Microsoft Teams

Motywowana finansowo grupa hakerska wykorzystuje Microsoft Teams do włamywania się do sieci firmowych, jak podają badacze cytowani przez Cybersecurity Dive. Kampania dotknęła dziesiątki firm w Stanach Zjednoczonych i Kanadzie, używając fałszywych tożsamości wsparcia IT, aby nakłonić pracowników do udostępnienia zdalnego dostępu do swoich komputerów. Gdy już uzyskają dostęp, atakujący wdrażają oprogramowanie ransomware, szyfrując pliki i żądając okupu.

W przeciwieństwie do wielu głośnych włamań związanych ze szpiegostwem państwowym, badacze twierdzą, że ta operacja ma charakter czysto finansowy. Atakującym nie chodzi o zdobycie informacji wywiadowczych ani długoterminowy dostęp do nadzoru. Chcą okupu, a Microsoft Teams stał się wygodnym narzędziem do jego uzyskania.

Jak działa to oszustwo

Ta taktyka opiera się na socjotechnice, a nie na lukach w oprogramowaniu. Atakujący kontaktują się z pracownikami za pośrednictwem Microsoft Teams, podszywając się pod pracowników wewnętrznego wsparcia IT. Ponieważ Teams jest zaufanym, codziennym narzędziem komunikacji w większości organizacji, pracownicy znacznie częściej dają się zwieść, niż w przypadku niechcianych e-maili czy telefonów z nieznanego numeru.

Gdy pracownik jest przekonany, że rozmawia z prawowitym wsparciem IT, atakujący namawia go do udzielenia zdalnego dostępu do swojego komputera, często pod pretekstem rozwiązania problemu technicznego. Stamtąd intruzi mogą poruszać się poprzecznie po sieci, zbierać dane uwierzytelniające i ostatecznie wdrożyć ransomware na współdzielonych systemach i serwerach.

Takie podejście wpisuje się w szerszy trend w cyberprzestępczości: atakujący coraz częściej wolą wykorzystywać podszywanie się i nadużywanie zaufania niż techniczne exploity, ponieważ często łatwiej jest przekonać osobę, by otworzyła drzwi, niż sforsować zaporę sieciową.

Skutki naruszenia prywatności w wyniku ataku ransomware

Choć ransomware jest zwykle przedstawiane jako problem ciągłości działania firmy, zaszyfrowane pliki i zablokowane systemy to tylko część historii. Kampanie te często obejmują eksfiltrację danych jeszcze przed rozpoczęciem szyfrowania, co oznacza, że dane pracowników, informacje o klientach i komunikacja wewnętrzna mogą już znajdować się w rękach atakujących, gdy pojawi się żądanie okupu.

Te dane niekoniecznie znikają po zapłaceniu okupu lub przywróceniu systemu. Mogą zostać sprzedane, wyciec lub zostać zachowane do przyszłych wymuszeń. Konsekwencje wykraczają daleko poza samą zaatakowaną firmę. Narazić się mogą pracownicy, których dane uwierzytelniające zebrano, klienci, których rekordy przechowywano na skompromitowanych serwerach, oraz partnerzy, którzy wymieniali poufne pliki.

Infrastruktura stojąca za tymi kampaniami często opiera się na dostawcach hostingu, którzy przymykają na to oko. Organy ścigania zauważyły ten problem gdzie indziej: holenderskie władze niedawno zajęły 800 serwerów i aresztowały dwie osoby w związku z likwidacją usługi hostingu "bulletproof", która wspierała działalność cyberprzestępczą, co przypomina, że kampanie ransomware rzadko działają w izolacji. Opierają się one na szerszym ekosystemie usług hostingowych, prania pieniędzy i dystrybucji, który przekracza granice.

Co to oznacza dla Ciebie

Jeśli Twoja organizacja korzysta z Microsoft Teams, a robi to większość, ta kampania jest bezpośrednim ostrzeżeniem, że wewnętrzne platformy czatu stały się realnymi wektorami ataku, a nie tylko skrzynki e-mail. Działy IT powinny traktować niechciane wiadomości Teams od "wsparcia" z taką samą podejrzliwością, jaka zwykle zarezerwowana jest dla e-maili phishingowych.

Dla pojedynczych pracowników lekcja jest prosta: prawowite wsparcie IT rzadko inicjuje kontakt w ten sposób i prawie nigdy nie prosi o natychmiastowe udzielenie zdalnego dostępu bez wcześniejszej weryfikacji za pośrednictwem znanego systemu zgłoszeń lub kanału wewnętrznego. Jeśli coś wydaje się pospieszne lub niezwykle pilne, ta pilność często jest sygnałem ostrzegawczym.

Dla firm przetwarzających dane klientów lub pracowników, kampania ta podkreśla również, dlaczego minimalizacja danych i segmentacja sieci mają znaczenie. Ograniczenie ilości poufnych informacji znajdujących się na jednym dostępnym systemie zmniejsza to, co atakujący może wydobyć, nawet jeśli przedostaną się przez pierwszą linię obrony.

Praktyczne kroki, aby zmniejszyć ryzyko

  • Zweryfikuj każdy kontakt ze wsparciem IT za pośrednictwem oficjalnego systemu zgłoszeń lub znanej wewnętrznej linii telefonicznej przed udzieleniem zdalnego dostępu do swojego urządzenia.
  • Włącz uwierzytelnianie wieloskładnikowe w Teams, poczcie e-mail i narzędziach dostępu zdalnego, aby pojedyncze skradzione dane uwierzytelniające nie wystarczyły do przemieszczania się poprzecznie.
  • Szkol pracowników specjalnie w zakresie taktyk podszywania się w Teams, a nie tylko phishingu e-mailowego, ponieważ atakujący wyraźnie dywersyfikują swoje punkty wejścia.
  • Segmentuj wrażliwe dane i ogranicz uprawnienia administracyjne, aby pojedyncze skompromitowane konto nie mogło uzyskać dostępu do całej sieci.
  • Utrzymuj kopie zapasowe offline i przetestowane, aby żądania okupu straciły swoją siłę przetargową.

Ta kampania ransomware w Microsoft Teams przypomina, że atakujący idą tam, gdzie istnieje już zaufanie. W miarę jak organizacje coraz bardziej polegają na platformach współpracy w codziennej działalności, te same narzędzia stają się atrakcyjnym celem do podszywania się. Zachowanie czujności wobec nieoczekiwanych próśb o "wsparcie", weryfikacja tożsamości za pośrednictwem oddzielnych kanałów i utrzymywanie aktualnych szkoleń z zakresu bezpieczeństwa to proste, ale skuteczne sposoby, aby być o krok przed atakującymi.