Атаки с использованием поддельных учетных записей службы технической поддержки нацелены на Microsoft Teams: используются уязвимости легитимных инструментов.
В Microsoft Teams снова участились случаи выдачи себя за специалистов технической поддержки. Узнайте, как хакеры используют легитимные инструменты для сокрытия своих атак, и получите советы по защите вашей организации уже сегодня!
Самое важное, что вам нужно знать
- Атаки с использованием подмены технической поддержки включают в себя несколько этапов, начиная с вредоносного ПО и заканчивая извлечением данных или программами-вымогателями, использующими встроенные инструменты, такие как ADSI, для горизонтального перемещения.
- Многие группы злоумышленников, такие как Cozy Bear, FIN7 и ShinyHunters, используют методы имитации технической поддержки в Teams, причем некоторые из них сосредоточены на краже данных, а не на вымогательстве.
- Microsoft рекомендует повышать осведомленность пользователей и проверять наличие нежелательных сообщений от службы поддержки, а также использовать Microsoft Defender для Office 365, а также функции Safe Links и ZAP для нейтрализации угроз.
Microsoft предупреждает о продолжающейся хакерской кампании, которая начинается с сообщения в Teams и заканчивается заражением программами-вымогателями и кражей данных.
В новом подробном отчете, опубликованном в блоге Microsoft, говорится, что неизвестные злоумышленники связывались со своими жертвами в различных компаниях через чат Teams, выдавая себя за сотрудников технической поддержки.
Они заставляли своих жертв предоставлять удаленный доступ через демонстрацию экрана или инструменты удаленного мониторинга и управления, а получив его, использовали этот доступ для установки вредоносных программ и различного другого вредоносного программного обеспечения.
Как защититься от фишинговых атак через Teams
Вредоносное ПО было лишь первым этапом атаки. Последующие этапы включали разведку хоста, обнаружение продуктов безопасности и виртуализации, а также «периодическую запись экрана рабочего стола» — другими словами, составление карты обстановки и проведение наблюдения.
Затем мошенники, используя встроенные инструменты и запросы Active Directory Service Interfaces (ADSI), перечисляют учетные записи домена, серверы и пользователей, после чего начинают действовать в обход системы.
Заключительный этап включает в себя выявление и извлечение ценных данных, за которым следует заражение программой-вымогателем.
Microsoft не называет имена злоумышленников, часто именуя их «агентами угроз». Это вполне логично, поскольку метод «поддельной технической поддержки через Teams» в настоящее время используется несколькими группами. Российские группы Cozy Bear, FIN7 и Storm-1811, пожалуй, являются наиболее очевидными примерами.
Крупнейшая в мире группа вымогателей ShinyHunters также известна тем, что использует Teams, чтобы обманом заставить жертв предоставить доступ, но эта группа редко применяет программное обеспечение для шифрования, сосредоточившись исключительно на краже данных.
Независимо от того, кто является злоумышленниками и каковы их цели, одно несомненно: риск в корпоративной среде никогда не был так высок.
По этой причине Microsoft рекомендует повысить осведомленность пользователей, разработав внутренние фразы аутентификации для службы поддержки и обучив сотрудников распознавать признаки сторонних сервисов.
Microsoft также настоятельно рекомендует компаниям расследовать любые незапрошенные обращения в службу поддержки и усилить защиту Microsoft Teams и электронной почты от социальной инженерии. Microsoft советует: «Используйте Microsoft Defender для Office 365 с функцией «Безопасные ссылки» и автоматической очисткой в нулевой час (ZAP), чтобы гарантировать нейтрализацию вредоносных сообщений и URL-адресов в момент перехода по ссылке и их удаление после доставки».
Комментарии закрыты.