Напаѓачите користат измами со ИТ-поддршка преку Microsoft Teams за да шират малициозен софтвер и да извршуваат ransomware-напади

Истражувачите за сајбер-безбедност предупредуваат на, како што го нарекуваат, „повторувачки образец на социјален инженеринг“ забележан во стотици случаи, во кои напаѓачите ја злоупотребуваат функцијата за започнување надворешни разговори во Microsoft Teams за измами со лажно претставување или за испорака на малициозен софтвер.

„Во овие инциденти се појави доследен образец на однесување на напаѓачите: користење на истите привремени тенанти, истите имиња за прикажување како „IT Support (Internal)“, истите алатки за далечински пристап и, сè почесто, истите домени за испорака на злонамерни товари“, соопшти Arctic Wolf Labs во извештај споделен со The Hacker News.

Нападите редовно користат имиња за прикажување поврзани со ИТ-поддршка или пријателски имиња за да ги заобиколат предупредувањата во Teams што се однесуваат на надворешни корисници. Пораките потекнуваат од Teams-идентитети создадени преку нови или претходно стекнати Microsoft 365 тенанти.

Речиси 30–40% од случаите што ги истражила компанијата за сајбер-безбедност вклучуваат употреба на домени од форматот *.onmicrosoft[.]com. Ова е постојан резервен домен што Microsoft автоматски го генерира при создавање Microsoft 365 тенант.

Овие домени се користат за лажно претставување како ИТ-инфраструктура, при што напаѓачите избираат имиња на тенанти што содржат зборови поврзани со техничка поддршка или служба за помош, со цел да ја зголемат својата веродостојност.

Примери за вакви домени се:

• helpdeskteam365.onmicrosoft[.]com
• itendpoint365.onmicrosoft[.]com
• itcoreportal.onmicrosoft[.]com
• itadmin922.onmicrosoft[.]com
• corporateitservicellc.onmicrosoft[.]com

Како што било забележано и во многу претходни случаи, овие разговори преку Teams често им претходи таканаречено бомбардирање со е-пошта (mail bombing). При тоа, сандачето на жртвата за краток период се преплавува со стотици пораки за потврда на претплати или пријавување за билтени.

Целта на овој пристап е да се создаде лажно чувство на итност. Набргу потоа пристигнува порака од наводната ИТ-поддршка преку Teams, со понуда да помогне во решавањето на проблемот.

Некои од имињата за прикажување што Arctic Wolf ги забележал во различни случаи се наведени подолу:

• Help Desk
• IT Support
• HelpDesk Manager
• IT Service Desk – Liam / IT Service Desk (Liam)
• IT Service Desk – Matt / IT Service Desk – Scott
• IT Support – Christopher Thomas
• HelpDesk Supervisor
• Enterprise IT & Security (Internal)
• IT Tech Support Internal
• Business IT Solutions & Support (Internal)
• Maintenance Service
• IT-Representative
• IT/Help Desk

Во поновите варијанти на нападите, забележано е дека напаѓачите го додаваат доменот или името на компанијата на целната организација во своето име за прикажување, со цел пораките да изгледаат уште поверодостојно.

„Забележавме и неодамнешна промена кон користење платени домени од највисоко ниво (TLD) при создавањето тенанти“, соопшти Arctic Wolf. „Од платените домени што ги идентификувавме во ваквите измами во изминатите неколку месеци, приближно 50 проценти од лажните идентитети го користеле доменот .top, околу 40 проценти користеле стандардни .com-домени, а нешто повеќе од пет проценти користеле повеќеслојни домени, како што се .com.pl, .com.vn и .com.br.“

Оваа активност се совпаѓа со активностите на групата STAC4749, која има историја на создавање cloud-домени со имиња поврзани со ИТ-поддршка под доменот од највисоко ниво „.top“ и користење веродостојни кориснички имиња што наликуваат на имиња на вработени, со цел сметките да изгледаат автентично.

Според Sophos, овие напади довеле до инсталирање на ransomware од семејството Chaos.

Нападите конкретно ги таргетираат организациите кај кои е овозможен надворешен пристап. Во нив се користи и техника наречена vishing – гласовна фишинг-измама, со која жртвите се наведуваат да им овозможат на напаѓачите директен пристап до компјутерот преку легитимни алатки за далечинско следење и управување (RMM), како што се Quick Assist, AnyDesk, ScreenConnect (ConnectWise), TeamViewer, Atera, Zoho Assist, NetSupport и LogMeIn.

Далечинскиот пристап потоа се злоупотребува за извидување на системот, испорака на дополнителни злонамерни товари, како задната врата GoGRPC, и овозможување латерално движење кон контролерите на доменот. Напаѓачите инсталираат и дополнителни RMM-алатки, како Level, за да обезбедат резервен начин за пристап, пред да извлечат чувствителни податоци и да ја активираат ransomware-датотеката.

„Во дел од случаите, напаѓачите ги искористиле белешките на Microsoft“, соопшти Arctic Wolf. „Напаѓачите генерално избегнуваат директно да залепат URL-адреса во Teams, бидејќи тоа би активирало скенирање преку Safe Links / ZAP. Наместо тоа, тие сами се движат до злонамерниот товар за време на сесијата за далечински пристап. Затоа, телеметријата од крајните уреди и системите за управување со идентитети е од суштинско значење за следење, заедно со скенирањето на пораките.“

Во еден случај идентификуван од компанијата за сајбер-безбедност, напаѓачот му наложил на корисникот да изврши PowerShell-команда за преземање датотека, а потоа и нејзино стартување. Командата PowerShell била дизајнирана да преземе MSI-инсталатер од Microsoft Azure Blob Storage.

Кога жртвата го стартувала инсталатерот, тој активирал PowerShell-скрипта чија задача била да извлече и да изврши Python-компонента за упад (implant), вградена во самата скрипта.

Задната врата потоа започнувала уште една MSI-операција, преку која се испраќале LDAP-барања до Active Directory за да се соберат сите компјутерски и кориснички објекти. Потоа собраните информации биле испраќани до надворешен сервер.

„Надворешните разговори преку Microsoft Teams станаа ефикасен почетен вектор за пристап затоа што ја искористуваат довербата, наместо ранливост во софтверот“, соопшти Arctic Wolf.

„Во анализираните случаи, напаѓачите комбинирале бомбардирање со е-пошта, убедливо лажно претставување како ИТ-поддршка, новосоздадени тенанти и домени и брзи техники на социјален инженеринг. На тој начин ги наведувале жртвите од навидум вообичаен разговор до далечински пристап, извршување злонамерен код и, во некои случаи, поширока компромитација на системите.“

Извори:

• The Hacker News – Attackers Use Microsoft Teams IT Support Scams to Deploy Malware and Ransomware The Hacker News