Aanvallers misbruiken de functie voor externe chats in Microsoft Teams om zich voor te doen als IT-support en zo malware en uiteindelijk ransomware af te leveren. Onderzoekers van Arctic Wolf Labs zagen in honderden gevallen hetzelfde herhalende patroon: dezelfde soort wegwerp-tenants, dezelfde weergavenamen zoals “IT Support (Internal)”, dezelfde remote-toegangstools en in toenemende mate dezelfde domeinen voor de payloads.
De aanval begint vaak met mail bombing: het slachtoffer wordt in korte tijd overspoeld met nieuwsbrief- en abonnementsbevestigingen, zodat de inbox overvol en onoverzichtelijk raakt. Direct daarna volgt een Teams-bericht van een zogenaamde IT-helpdesk, wat urgentie creëert. De identiteiten achter die berichten komen uit nieuw aangemaakte of overgenomen Microsoft 365-tenants, met IT-achtige weergavenamen of juist vriendelijke voornamen om de standaardwaarschuwing voor externe gebruikers te omzeilen. In 30 tot 40 procent van de gevallen gebruiken de aanvallers een gratis *.onmicrosoft.com-domein, met namen als helpdeskteam365, itendpoint365, itcoreportal, itadmin922 en corporateitservicellc. Bij betaalde domeinen kiest ongeveer de helft voor de .top-extensie en ongeveer 40 procent voor .com.
Zodra het slachtoffer het nepbericht gelooft, wordt het via vishing (telefonische social engineering) overgehaald om toegang te geven via een legitieme tool voor extern beheer, zoals Quick Assist, AnyDesk, ScreenConnect, TeamViewer, Atera, Zoho Assist, NetSupport of LogMeIn. Met die toegang verkennen de aanvallers het netwerk en installeren ze extra payloads, waaronder de GoGRPC-backdoor, voordat ze lateraal naar domain controllers bewegen en extra remote-tools zoals Level installeren voor redundantie. Pas in de laatste fase exfiltreren ze gevoelige data en zetten ze losgeldsoftware neer. URL’s worden daarbij zelden direct in Teams geplakt, omdat dat de Safe Links/ZAP-scanning van Microsoft zou activeren; de payload wordt liever live tijdens de remote-sessie opgehaald en gestart.
De activiteit vertoont overeenkomsten met de eerder waargenomen groep STAC4749, die soortgelijke IT-achtige .top-domeinen registreerde. Volgens beveiligingsbedrijf Sophos heeft deze aanvalsketen inmiddels geleid tot de inzet van Chaos-ransomware.
Arctic Wolf benadrukt dat deze aanval geen softwarekwetsbaarheid misbruikt maar puur vertrouwen, en adviseert daarom endpoint- en identiteitstelemetrie net zo serieus te monitoren als het scannen van berichten zelf. Voor Nederlandse organisaties die Teams gebruiken is het advies simpel: train medewerkers om nooit op basis van een chatbericht alleen externe toegang tot hun apparaat te geven, en controleer onbekende tenants en weergavenamen voordat een “IT-helpdesk” via Teams wordt vertrouwd.
Bron: The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.