Arctic Wolf Labs описала повторяющуюся схему, выявленную в сотнях случаев: злоумышленники пишут сотрудникам через внешние чаты Microsoft Teams, выдают себя за IT-поддержку и убеждают предоставить удалённый доступ. Затем они устанавливают вредоносные программы. В отдельных атаках дело доходит до кражи данных и запуска программ-вымогателей. Уязвимость Teams для этого не нужна: схема держится на доверии и привычке пользователя выполнять указания «техподдержки».
Чтобы выглядеть убедительно, атакующие создают или покупают тенанты Microsoft 365. В 30–40% расследованных Arctic Wolf случаев использовались адреса
Имена в профилях тоже рассчитаны на узнаваемость: Help Desk, IT Support, HelpDesk Manager, IT Service Desk – Liam, IT Service Desk (Liam), IT Service Desk – Matt, IT Service Desk – Scott, IT Support – Christopher Thomas, HelpDesk Supervisor, Enterprise IT & Security (Internal), IT Tech Support Internal, Business IT Solutions & Support (Internal), Maintenance Service, IT-Representative и IT/Help Desk. В новых вариантах мошенники добавляют к отображаемому имени название компании или её домен.
Контакту в Teams нередко предшествует почтовый «бомбардировочный налёт»: жертве за короткое время приходят сотни подтверждений подписок и рассылок. На фоне заваленного ящика сообщение от «IT-поддержки», предлагающей разобраться с проблемой, может показаться вполне уместным. Так создают срочность и подталкивают человека согласиться на помощь, не проверив собеседника.
Для следующего шага нужны включённый внешний доступ в Teams и согласие пользователя. Иногда атакующие звонят: такой вариант социальной инженерии называют вишингом. Получив доступ к компьютеру, они используют легитимные программы удалённого управления и мониторинга: Quick Assist, AnyDesk, ScreenConnect (ConnectWise), TeamViewer, Atera, Zoho Assist, NetSupport и LogMeIn. Знакомое название программы само по себе не означает, что подключение безопасно.
Удалённая сессия позволяет изучить сеть, доставить дополнительные компоненты, включая бэкдор GoGRPC, и перейти на другие устройства, в том числе к контроллерам домена. Для резервного доступа могут установить ещё один инструмент, например Level. После этого злоумышленники способны похитить конфиденциальные данные и развернуть шифровальщик.
За последние месяцы Arctic Wolf отмечает переход к платным доменам верхнего уровня при создании тенантов. Около 50% выявленных платных доменов использовали
В одном расследованном Arctic Wolf эпизоде пользователь по инструкции атакующего запустил команду PowerShell. Она скачала MSI-установщик из Microsoft Azure Blob Storage. Установщик запустил скрипт PowerShell, который извлёк встроенный Python-имплант и выполнил его. Затем бэкдор начал ещё одну установку MSI, отправил LDAP-запросы в Active Directory, собрал сведения обо всех объектах компьютеров и пользователей и передал их на внешний сервер.
Злоумышленники обычно не вставляют ссылку на вредоносный файл прямо в чат Teams: это может вызвать проверку Safe Links или ZAP. Вместо этого они сами переходят к нужному файлу во время удалённого сеанса. В некоторых случаях, согласно отчёту Arctic Wolf, использовались также «заметки Microsoft». Поэтому одной фильтрации сообщений недостаточно: службам безопасности нужны данные с конечных устройств и из систем управления идентификацией. Опасные действия могут начаться уже после того, как пользователь согласился на удалённый доступ.
Чтобы выглядеть убедительно, атакующие создают или покупают тенанты Microsoft 365. В 30–40% расследованных Arctic Wolf случаев использовались адреса
.onmicrosoft[.]com — постоянные домены, которые Microsoft автоматически выдаёт при создании тенанта. Злоумышленники выбирали названия вроде helpdeskteam365.onmicrosoft[.]com, itendpoint365.onmicrosoft[.]com, itcoreportal.onmicrosoft[.]com, itadmin922.onmicrosoft[.]com и corporateitservicellc.onmicrosoft[.]com. Имена в профилях тоже рассчитаны на узнаваемость: Help Desk, IT Support, HelpDesk Manager, IT Service Desk – Liam, IT Service Desk (Liam), IT Service Desk – Matt, IT Service Desk – Scott, IT Support – Christopher Thomas, HelpDesk Supervisor, Enterprise IT & Security (Internal), IT Tech Support Internal, Business IT Solutions & Support (Internal), Maintenance Service, IT-Representative и IT/Help Desk. В новых вариантах мошенники добавляют к отображаемому имени название компании или её домен.
Контакту в Teams нередко предшествует почтовый «бомбардировочный налёт»: жертве за короткое время приходят сотни подтверждений подписок и рассылок. На фоне заваленного ящика сообщение от «IT-поддержки», предлагающей разобраться с проблемой, может показаться вполне уместным. Так создают срочность и подталкивают человека согласиться на помощь, не проверив собеседника.
Для следующего шага нужны включённый внешний доступ в Teams и согласие пользователя. Иногда атакующие звонят: такой вариант социальной инженерии называют вишингом. Получив доступ к компьютеру, они используют легитимные программы удалённого управления и мониторинга: Quick Assist, AnyDesk, ScreenConnect (ConnectWise), TeamViewer, Atera, Zoho Assist, NetSupport и LogMeIn. Знакомое название программы само по себе не означает, что подключение безопасно.
Удалённая сессия позволяет изучить сеть, доставить дополнительные компоненты, включая бэкдор GoGRPC, и перейти на другие устройства, в том числе к контроллерам домена. Для резервного доступа могут установить ещё один инструмент, например Level. После этого злоумышленники способны похитить конфиденциальные данные и развернуть шифровальщик.
За последние месяцы Arctic Wolf отмечает переход к платным доменам верхнего уровня при создании тенантов. Около 50% выявленных платных доменов использовали
.top, примерно 40% — обычный .com, чуть более 5% — домены из нескольких уровней, например .com.pl, .com.vn и .com.br. Такая активность согласуется с действиями группы STAC4749: она создавала IT-тематические облачные домены в зоне .top и использовала правдоподобные имена сотрудников. По данным Sophos, в связанных атаках применялся шифровальщик Chaos. В одном расследованном Arctic Wolf эпизоде пользователь по инструкции атакующего запустил команду PowerShell. Она скачала MSI-установщик из Microsoft Azure Blob Storage. Установщик запустил скрипт PowerShell, который извлёк встроенный Python-имплант и выполнил его. Затем бэкдор начал ещё одну установку MSI, отправил LDAP-запросы в Active Directory, собрал сведения обо всех объектах компьютеров и пользователей и передал их на внешний сервер.
Злоумышленники обычно не вставляют ссылку на вредоносный файл прямо в чат Teams: это может вызвать проверку Safe Links или ZAP. Вместо этого они сами переходят к нужному файлу во время удалённого сеанса. В некоторых случаях, согласно отчёту Arctic Wolf, использовались также «заметки Microsoft». Поэтому одной фильтрации сообщений недостаточно: службам безопасности нужны данные с конечных устройств и из систем управления идентификацией. Опасные действия могут начаться уже после того, как пользователь согласился на удалённый доступ.
