Почту заваливают спамом, а затем в Teams зовёт фальшивый айтишник

В Arctic Wolf сообщили, что за последнее время зафиксировали более 400 атак с использованием внешних чатов Microsoft Teams. Схема начинается с того, что почтовый ящик жертвы за несколько минут заполняют сотни подтверждений рассылок и подписок. Едва сотрудник видит этот хаос, как в Teams приходит сообщение от якобы внутренней службы поддержки с предложением помочь.

Исследователи подчёркивают: здесь нет уязвимости в самом Teams. В Microsoft 365 внешние коммуникации включены по умолчанию, и любой пользователь из другого тенанта может найти сотрудника организации, написать ему или позвонить, если обе стороны разрешают внешний доступ. Злоумышленники просто используют легитимную функцию совместной работы.

Такой перенос разговора в Teams обходит привычную осторожность. Сотрудников обычно учат с подозрением относиться к письмам, но сообщение внутри рабочей среды Teams воспринимается как более доверенное. Именно на это и рассчитывают атакующие.

От 30 до 40 процентов случаев связаны с бесплатными тенантами onmicrosoft.com, которые создаются за минуты без проверки. Им дают имена вроде helpdeskteam365 или itcoreportal, а в отображаемом имени добавляют «(Internal)», чтобы sender выглядел сотрудником компании, хотя Teams помечает его как внешнего. Встречаются имена с первыми именами, например «IT Service Desk (Matthew)», и сообщения на языке жертвы.

Более ста имён содержали эмодзи со щитами и гаечными ключами — по оценке Arctic Wolf, это может указывать на использование ИИ для генерации образов поддержки. В свежих случаях атакующие также вписывали название или домен компании-жертвы в собственное отображаемое имя, чтобы усилить иллюзию. Компания отметила недавний сдвиг к платным доменам верхнего уровня.

Среди платных доменов, замеченных в подобных аферах за последние месяцы, около 50 процентов фальшивых идентичностей использовали .top, примерно 40 процентов — обычный .com, и чуть больше пяти процентов — многоуровневые домены вроде .com.pl, .com.vn и .com.br. Это совпадает с более ранними наблюдениями Sophos о кампании вымогателя Chaos, которая тоже перешла с одноразовых тенантов onmicrosoft.com на IT-тематические домены .top. Если жертва отвечает, фальшивый техник обычно переводит общение в голосовой звонок Teams и просит установить программу удалённого доступа.

Чаще всего это Quick Assist, потому что он уже встроен в Windows и от сотрудника требуется лишь продиктовать шестизначный код. Также применяются AnyDesk и ScreenConnect, нередко их ставят как второй канал, который остаётся после удаления первого. Атакующие действуют быстро и часто автоматизированно: они пытаются зацепить нескольких пользователей в короткие окна около пяти минут.

С момента первого ответа до запуска вредоносного кода может пройти меньше 15 минут. В ряде случаев предупреждение о краже учётных данных срабатывало одновременно с алертом на первый чат в Teams — компьютер к этому моменту уже был скомпрометирован. Злоумышленники стараются не размещать ссылки в самом Teams, где их могут проверить.

Вместо этого они сами скачивают вредоносные файлы во время удалённой сессии. В одном эпизоде фальшивый сотрудник поддержки убедил жертву выполнить команду PowerShell, которая запустила цепочку скрытых скриптов. Итоговый скрипт установил Python-имплант, собравший имена и описания всех пользователей и компьютеров из Active Directory организации и отправивший этот список на серверы атакующих.

Некоторые вторжения заканчивались кражей данных и программами-вымогателями. Сама техника не нова. Microsoft впервые описала её в середине 2024 года в атаках, связанных с группой вымогателей Black Basta, позже она появлялась в операциях Cactus, 3AM и Chaos.

Arctic Wolf советует большинству организаций запретить чаты с внешних тенантов, оставив доступ только для проверенных партнёрских доменов, а также блокировать неуправляемые учётные записи Teams и пробные тенанты. Стоит ограничить Quick Assist и другие средства удалённого доступа, разрешив их только авторизованному IT-персоналу. Поскольку вектор держится на социальной инженерии, ключевыми остаются люди и процессы.