Saldırganlar sahte BT destek mesajlarıyla Microsoft Teams üzerinden fidye yazılımı dağıtıyor

Arctic Wolf Labs, yüzlerce olayda saldırganların Teams'in dış sohbet özelliğini kötüye kullanarak kurbanları uzaktan erişim vermeye ikna ettiğini ve bu yolla fidye yazılımı dağıttığını bildirdi.

Arctic Wolf Labs, Microsoft Teams'in dış sohbet oluşturma özelliğinin kötüye kullanıldığı yüzlerce olayı inceledi. Saldırganlar, kurbanlara BT destek personeli kılığında yazıyor ve onları uzaktan erişim vermeye yönlendiriyor. Bu tekrar eden sosyal mühendislik düzeni, araştırmacılara göre yazılımdaki bir açıktan değil, güvene dayanıyor.

Saldırının akışı şöyle işliyor: Önce hedefin gelen kutusuna çok sayıda abonelik onay e-postası gönderiliyor. Hemen ardından, yeni oluşturulmuş Microsoft 365 kiracılarından Teams üzerinden mesaj geliyor. Bu kiracıların çoğunda geçici onmicrosoft.com alan adları ve yardım masası gibi görünen görünen adlar kullanılıyor. İncelenen vakaların yaklaşık yüzde 30 ila 40'ında bu alan adları kullanılmış.

Saldırganlar içeri girdikten sonra Quick Assist ya da AnyDesk gibi uzaktan izleme araçlarıyla ek arka kapılar yerleştiriyor, etki alanı denetleyicilerine yanal hareket ediyor ve fidye yazılımını bırakıyor. Sophos, bazı vakaları Chaos fidye yazılımıyla ilişkilendiriyor.

Araştırmacılar, dış Teams erişimi açık olan kuruluşların yalnızca mesajları taramakla yetinmemesi, uç nokta ve kimlik etkinliğini de izlemesi gerektiğini savunuyor.