Wprowadzenie do problemu / definicja
Microsoft Teams coraz częściej staje się nie tylko narzędziem komunikacji biznesowej, ale także kanałem wykorzystywanym przez cyberprzestępców do uzyskania początkowego dostępu do środowiska ofiary. Zamiast bazować na klasycznych podatnościach, napastnicy nadużywają legalnych funkcji zewnętrznego czatu i federacji, aby skontaktować się z pracownikami, podszyć się pod dział wsparcia IT i skłonić ich do uruchomienia narzędzi zdalnego dostępu lub niebezpiecznych poleceń.
Tego rodzaju kampanie są szczególnie niebezpieczne, ponieważ wykorzystują zaufanie do firmowego komunikatora. W praktyce pojedyncza wiadomość od rzekomego helpdesku może otworzyć drogę do instalacji malware, przejęcia stacji roboczej, rozpoznania środowiska domenowego, a nawet wdrożenia ransomware.
W skrócie
- Napastnicy wykorzystują zewnętrzne wiadomości w Microsoft Teams do podszywania się pod wsparcie IT.
- Atak bywa poprzedzony mail bombingiem, który ma wywołać chaos i zwiększyć podatność ofiary na manipulację.
- Po nawiązaniu kontaktu ofiara jest nakłaniana do uruchomienia legalnych narzędzi zdalnej administracji, takich jak Quick Assist, AnyDesk czy TeamViewer.
- Po uzyskaniu dostępu atakujący prowadzą rekonesans, wdrażają dodatkowe ładunki, poruszają się lateralnie i mogą zakończyć operację atakiem ransomware.
Kontekst / historia
Opisany model działania wpisuje się w szerszy trend odchodzenia przez cyberprzestępców od prostych kampanii e-mailowych na rzecz nadużywania zaufanych platform komunikacyjnych. Komunikatory korporacyjne są postrzegane przez użytkowników jako bardziej wiarygodne niż poczta elektroniczna, co znacząco zwiększa skuteczność socjotechniki.
Microsoft Teams jest atrakcyjnym celem zwłaszcza w organizacjach, które pozostawiają włączony zewnętrzny dostęp lub federację z szerokim zakresem zaufania. W analizowanych przypadkach napastnicy korzystali zarówno z nowych, jak i przejętych dzierżaw Microsoft 365, budując wiarygodność poprzez nazwy wyświetlane sugerujące dział IT, helpdesk lub obsługę techniczną. Dodatkową rolę odgrywają domyślne domeny onmicrosoft.com oraz własne domeny stylizowane na zaplecze administracyjne.
To nie jest incydentalna technika, lecz element dojrzewającego modelu ataku. W ostatnich latach podobne operacje łączyły komunikację w Teams z vishingiem, presją czasową i użyciem legalnych narzędzi zdalnego wsparcia, co pozwalało uzyskać interaktywny dostęp do środowiska ofiary bez wykorzystywania exploita.
Analiza techniczna
Atak zwykle rozpoczyna się od przygotowania infrastruktury. Przestępcy zakładają lub przejmują tenant Microsoft 365, a następnie konfigurują nazwę konta w taki sposób, by przypominała wewnętrzny dział IT. Często stosowane są oznaczenia typu „IT Support”, „Help Desk” lub warianty zawierające nazwę firmy ofiary, co zwiększa wiarygodność kontaktu.
Kolejnym krokiem bywa mail bombing, czyli zalanie skrzynki użytkownika dużą liczbą wiadomości potwierdzających fikcyjne rejestracje lub subskrypcje. Celem jest wywołanie poczucia chaosu oraz stworzenie pretekstu do kontaktu ze strony rzekomego wsparcia technicznego. Gdy ofiara otrzymuje wiadomość w Teams od osoby podającej się za pracownika IT, jest bardziej skłonna uwierzyć, że ktoś rzeczywiście pomaga jej rozwiązać problem.
Po wejściu w interakcję napastnik dąży do uzyskania dostępu typu hands-on-keyboard. W tym celu wykorzystuje legalne narzędzia zdalnej administracji i wsparcia, m.in. Quick Assist, AnyDesk, ScreenConnect, TeamViewer, Atera, Zoho Assist, NetSupport czy LogMeIn. Szczególnie istotny jest Quick Assist, ponieważ jest natywnie dostępny w systemie Windows i może nie wzbudzać podejrzeń użytkownika ani części mechanizmów obronnych.
Po ustanowieniu sesji zdalnej rozpoczyna się faza rozpoznania i wdrożenia kolejnych komponentów. W opisywanych scenariuszach ofiary były nakłaniane do uruchamiania poleceń PowerShell pobierających instalatory MSI z usług chmurowych. Następnie uruchamiane były kolejne skrypty odpowiedzialne za odszyfrowanie i wykonanie następnych elementów łańcucha infekcji, wypakowanie interpretera Python, uruchomienie implantu oraz zbieranie danych z hosta.
W dalszym etapie malware lub operator prowadził rekonesans katalogowy z użyciem zapytań LDAP do Active Directory, pobierał listy użytkowników i komputerów, a następnie przesyłał zebrane informacje do infrastruktury dowodzenia i kontroli. Taki etap pozwala przygotować ruch boczny, utrwalić dostęp i zaplanować kolejne działania, w tym kradzież danych lub wdrożenie ransomware.
Ważnym aspektem technicznym jest unikanie przesyłania podejrzanych linków bezpośrednio w czacie. Zamiast tego napastnicy często wykonują kluczowe czynności już podczas aktywnej sesji zdalnej, co utrudnia analizę treści wiadomości i ogranicza szansę na automatyczne wykrycie zagrożenia przez systemy ochronne.
Konsekwencje / ryzyko
Skutki tego rodzaju kampanii mogą być bardzo poważne, ponieważ nie zależą od istnienia niezałatanej podatności. Nawet dobrze zarządzane środowisko może zostać naruszone, jeśli organizacja dopuszcza zewnętrzny kontakt w Teams bez odpowiednich ograniczeń, a użytkownicy nie są przygotowani na taki scenariusz socjotechniczny.
Do najpoważniejszych konsekwencji należą przejęcie stacji roboczej, eskalacja uprawnień, enumeracja zasobów domenowych, ruch boczny między systemami, utrzymanie trwałości, eksfiltracja danych oraz finalne wdrożenie ransomware. Dodatkowym problemem jest wykorzystywanie legalnych narzędzi administracyjnych, które mogą zlewać się z normalną aktywnością helpdesku i utrudniać szybką detekcję.
Z perspektywy operacyjnej szczególnie niebezpieczne jest krótkie okno czasowe pomiędzy pierwszym kontaktem a wykonaniem złośliwych działań. Jeśli użytkownik zaakceptuje sesję zdalną lub uruchomi wskazane polecenie, zespół bezpieczeństwa może mieć zaledwie kilka minut na identyfikację i powstrzymanie incydentu.
Rekomendacje
Najważniejszym krokiem obronnym jest ograniczenie zewnętrznego dostępu w Microsoft Teams. Organizacje powinny odejść od modelu szerokiego zaufania i przejść na listę dozwolonych domen partnerów biznesowych. Jeżeli zewnętrzny czat nie jest niezbędny, warto go całkowicie wyłączyć lub znacząco zawęzić.
Należy również monitorować nowe czaty inicjowane z zewnętrznych tenantów, zwłaszcza jeśli wiadomości zawierają nazwy sugerujące wsparcie IT, elementy budujące wiarygodność albo pojawiają się bezpośrednio po incydentach mail bombingu. Taka korelacja może być cennym wskaźnikiem aktywnej kampanii.
Na poziomie endpointów i EDR warto wdrożyć alertowanie na uruchamianie nieautoryzowanych narzędzi RMM oraz zdalnego wsparcia. Szczególną uwagę należy zwrócić na Quick Assist, AnyDesk, ScreenConnect, TeamViewer i podobne aplikacje, jeśli pojawiają się poza standardową procedurą serwisową. Istotna jest także korelacja z aktywnością PowerShell, msiexec, pobieraniem plików z chmury, nietypowymi procesami potomnymi oraz zapytaniami LDAP z niestandardowych hostów.
Kluczowe znaczenie ma również warstwa proceduralna i szkoleniowa. Użytkownicy muszą wiedzieć, że wiadomość w Teams od osoby podającej się za dział IT nie jest automatycznie wiarygodna. Każda prośba o uruchomienie narzędzia zdalnego dostępu, podanie kodu sesji, wykonanie polecenia PowerShell lub instalację komponentu powinna być weryfikowana przez oficjalny kanał wsparcia.
- Ograniczyć lub wyłączyć zewnętrzny czat w Teams.
- Stosować listy dozwolonych domen zamiast modelu „allow all”.
- Monitorować nowe wiadomości od zewnętrznych tenantów.
- Wykrywać użycie nieautoryzowanych narzędzi zdalnej administracji.
- Korelować zdarzenia Teams z PowerShell, msiexec i aktywnością LDAP.
- Szkolić użytkowników z rozpoznawania fałszywego wsparcia IT.
Podsumowanie
Nadużywanie Microsoft Teams jako wektora wejścia pokazuje, że współczesne kampanie nie muszą opierać się na podatnościach typu CVE, aby zakończyć się pełnym kompromisem środowiska. Wystarczy połączenie zaufanej platformy komunikacyjnej, dobrze przygotowanej legendy oraz użycia legalnych narzędzi administracyjnych.
Dla zespołów bezpieczeństwa oznacza to konieczność szerszego spojrzenia na powierzchnię ataku. Ochrona nie powinna koncentrować się wyłącznie na poczcie i podatnościach, ale także na federacji komunikatorów, telemetrii tożsamości, aktywności endpointów oraz szybkiej reakcji na nietypowe interakcje zewnętrzne w Teams.