UNC6692 atakuje przez Microsoft Teams. Malware Snow celuje w poświadczenia i Active Directory

Wprowadzenie do problemu / definicja

Grupa UNC6692 prowadzi kampanię, w której łączy socjotechnikę z wykorzystaniem legalnych narzędzi firmowych. Atak rozpoczyna się od wywołania presji i dezorientacji u ofiary, a następnie przenosi komunikację do Microsoft Teams, gdzie napastnicy podszywają się pod helpdesk i nakłaniają użytkownika do uruchomienia złośliwego łańcucha infekcji.

Celem operacji nie jest wyłącznie przejęcie pojedynczej stacji roboczej. Kampania została zaprojektowana tak, aby umożliwić kradzież poświadczeń, utrwalenie dostępu, ruch boczny w sieci oraz kompromitację środowiska domenowego z użyciem niestandardowego zestawu malware o nazwie Snow.

W skrócie

• Atak zaczyna się od email bombingu, który ma wywołać presję i chaos informacyjny.
• Następnie ofiara otrzymuje wiadomość w Microsoft Teams od rzekomego działu wsparcia IT.
• Pod pretekstem instalacji poprawki użytkownik uruchamia elementy infekcji wykorzystujące AutoHotkey.
• Na urządzeniu wdrażane są komponenty SnowBelt, SnowGlaze i SnowBasin.
• Końcowym celem jest pozyskanie poświadczeń, ruch boczny oraz dostęp do danych Active Directory.

Kontekst / historia

Podszywanie się pod firmowy helpdesk jest dobrze znaną techniką, jednak wykorzystanie komunikatorów korporacyjnych wyraźnie zwiększa skuteczność takiego scenariusza. Użytkownicy są przyzwyczajeni do kontaktu z działem IT przez Teams i częściej ufają komunikatom dotyczącym rzekomych problemów technicznych.

W opisywanej kampanii atakujący dodatkowo poprzedzają kontakt masowym zalewem wiadomości e-mail. Taki zabieg wzmacnia wiarygodność późniejszej rozmowy w Teams, ponieważ ofiara może uznać, że faktycznie trwa incydent wymagający pilnej interwencji. To pokazuje, że współczesne operacje intruzyjne coraz częściej wykorzystują pełny kontekst pracy użytkownika, a nie tylko pojedynczy nośnik phishingu.

Analiza techniczna

Łańcuch ataku rozpoczyna się od wiadomości w Microsoft Teams zawierającej odnośnik do rzekomej poprawki lub narzędzia naprawiającego problem ze skrzynką pocztową. Po otwarciu linku użytkownik trafia na stronę podszywającą się pod legalne rozwiązanie administracyjne. Mechanizm został przygotowany tak, aby filtrować ofiary i utrudniać analizę, między innymi przez sprawdzanie parametrów żądania oraz wymuszanie użycia przeglądarki Microsoft Edge.

W części przypadków ofiara proszona jest także o podanie poświadczeń. Formularz został zaprojektowany tak, by wyglądać wiarygodnie i celowo odrzucać pierwsze próby logowania, co zwiększa szansę na wielokrotne wpisanie poprawnego hasła. Dane uwierzytelniające wraz z metadanymi trafiają następnie do infrastruktury kontrolowanej przez operatorów.

Kluczową rolę w dalszej fazie odgrywa AutoHotkey. Napastnicy wykorzystują jego binarium oraz odpowiednio nazwany skrypt, co pozwala automatycznie uruchomić logikę infekcji. W efekcie instalowany jest SnowBelt, czyli złośliwe rozszerzenie oparte na Chromium i ładowane lokalnie poza oficjalnym sklepem rozszerzeń.

Mechanizmy utrwalania obejmują skrót w folderze autostartu oraz zadania harmonogramu odpowiedzialne za uruchamianie bezgłowego procesu Microsoft Edge z załadowanym rozszerzeniem. Dzięki temu złośliwa aktywność może działać w tle bez widocznego okna, co zmniejsza prawdopodobieństwo wykrycia przez użytkownika. Dodatkowe zadania wspierają utrzymanie stabilności środowiska malware.

SnowBelt pełni funkcję elementu pośredniczącego i utrwalającego dostęp. Za jego pośrednictwem pobierane są kolejne komponenty, w tym SnowGlaze oraz SnowBasin, a także skrypty i archiwa zawierające przenośne środowisko Python. SnowGlaze odpowiada za tunelowanie komunikacji, obsługę połączeń WebSocket i działanie w roli proxy SOCKS, co umożliwia przekazywanie ruchu TCP przez zainfekowany host.

SnowBasin to backdoor napisany w Pythonie. Komponent uruchamia lokalny serwer HTTP i wykonuje polecenia CMD lub PowerShell przekazywane przez operatora. Jego funkcje obejmują zdalny shell, przesyłanie plików, wykonywanie zrzutów ekranu oraz operacje na systemie plików. Taki zestaw możliwości zapewnia atakującym elastyczne środowisko do dalszej eksploatacji stacji roboczej i sieci.

Po uzyskaniu przyczółka operatorzy przechodzą do rozpoznania wewnętrznego. Obserwowane są skany portów 135, 445 i 3389, co wskazuje na poszukiwanie usług RPC, SMB i RDP. Następnie napastnicy wykorzystują narzędzia administracyjne i tunele do przemieszczania się na kolejne systemy. W kolejnej fazie pozyskują materiał uwierzytelniający przez zrzut pamięci procesu LSASS, a po zdobyciu hashy mogą stosować technikę pass-the-hash w drodze do kontrolerów domeny.

Końcowy etap obejmuje dostęp do plików NTDS.dit oraz rejestru SYSTEM, SAM i SECURITY. Pozyskanie tych artefaktów oznacza bardzo wysoki poziom kompromitacji, ponieważ otwiera drogę do odzyskania lub dalszego nadużycia poświadczeń domenowych. W praktyce mówimy już o pełnoskalowym naruszeniu bezpieczeństwa tożsamości i integralności środowiska Active Directory.

Konsekwencje / ryzyko

Ryzyko związane z kampanią Snow jest szczególnie wysokie, ponieważ atak został zaprojektowany jako wieloetapowa operacja prowadząca do głębokiej kompromitacji organizacji. Już sam etap kradzieży poświadczeń może umożliwić przejęcie kont firmowych, dostępu do poczty, usług SaaS oraz zasobów wewnętrznych.

Jeszcze poważniejsze konsekwencje pojawiają się po wdrożeniu komponentów post-exploitation. Kradzież danych z LSASS, ruch boczny oraz przejęcie bazy Active Directory mogą doprowadzić do pełnego przejęcia domeny, utrzymania długotrwałej obecności intruza i realizacji kolejnych działań, takich jak sabotaż, wtórne kampanie phishingowe czy wdrożenie ransomware. Dodatkowym problemem jest to, że część aktywności może wyglądać jak zwykłe działania administracyjne.

Rekomendacje

Organizacje powinny ograniczyć możliwość kontaktu zewnętrznych kont z użytkownikami przez Microsoft Teams, jeśli nie jest to niezbędne biznesowo. Warto też wdrożyć wyraźne ostrzeżenia o wiadomościach spoza organizacji oraz jednoznaczne procedury kontaktu działu IT z pracownikami.

Kluczowe jest uświadamianie użytkowników, że helpdesk nie powinien przesyłać przez komunikator linków do ręcznej instalacji łatek, narzędzi naprawczych czy filtrów antyspamowych poza formalnym procesem wdrożeniowym. Każda taka prośba powinna być potwierdzana innym, zaufanym kanałem.

• Monitorować uruchomienia AutoHotkey i nietypowe skrypty powiązane z tym narzędziem.
• Wykrywać zadania harmonogramu uruchamiające Edge w trybie bezgłowym oraz z parametrami ładowania rozszerzeń.
• Kontrolować lokalnie instalowane rozszerzenia Chromium spoza oficjalnych repozytoriów.
• Analizować ruch WebSocket, tunele SOCKS oraz nietypowe połączenia wychodzące z endpointów użytkowników.
• Wdrażać detekcje dla prób dostępu do LSASS, zrzutów pamięci, pass-the-hash i nietypowego użycia FTK Imager.
• Monitorować dostęp do plików NTDS.dit, SYSTEM, SAM i SECURITY.
• Stosować segmentację sieci, ograniczenie uprawnień lokalnych administratorów oraz MFA odporne na phishing.

W przypadku podejrzenia kompromitacji niezbędne jest szybkie odizolowanie hosta, reset poświadczeń uprzywilejowanych, przegląd aktywności na kontrolerach domeny oraz ocena, czy nie doszło do wycieku danych katalogowych.

Podsumowanie

Kampania UNC6692 pokazuje, że nowoczesne ataki coraz skuteczniej łączą socjotechnikę, legalne platformy komunikacyjne i modułowe malware. Snow nie jest prostym downloaderem, lecz rozbudowanym zestawem narzędzi wspierających utrwalenie dostępu, tunelowanie ruchu, zdalne wykonywanie poleceń i kompromitację domeny.

Dla obrońców najważniejszy wniosek jest jasny: takie incydenty trzeba analizować jako pełny łańcuch intruzji, obejmujący użytkownika, endpoint, tożsamość i infrastrukturę katalogową. Skuteczna obrona wymaga jednocześnie świadomości pracowników, twardych polityk bezpieczeństwa dla narzędzi współpracy oraz zaawansowanego monitoringu telemetrycznego.

Źródła

1. BleepingComputer — https://www.bleepingcomputer.com/news/security/threat-actor-uses-microsoft-teams-to-deploy-new-snow-malware/
2. Google Cloud Blog: Snow Flurries: How UNC6692 Employed Social Engineering to Deploy a Custom Malware Suite — https://cloud.google.com/blog/topics/threat-intelligence/unc6692-social-engineering-custom-malware
3. BleepingComputer: Microsoft: Teams increasingly abused in helpdesk impersonation attacks — https://www.bleepingcomputer.com/news/security/microsoft-teams-increasingly-abused-in-helpdesk-impersonation-attacks/