مراقب باشید - چت تیم های مایکروسافت ممکن است هکرهایی باشد که جعل هویت پشتیبانی IT شما را نشان می دهند

مهاجمان صندوق‌های ورودی را پر از هرزنامه می‌کنند، سپس از طریق پیام‌ها و تماس‌های مایکروسافت تیمز، پشتیبانی فناوری اطلاعات را جعل می‌کنند.

قربانیان فریب داده می‌شوند تا دسترسی از راه دور را از طریق Quick Assist، AnyDesk یا ScreenConnect به اشتراک بگذارند.

محققان بیش از 400 حادثه را مشاهده کردند و به تنظیمات پیش‌فرض فدراسیون تیم‌ها هشدار دادند که کمپین مهندسی اجتماعی را فعال می‌کند. محققان امنیت سایبری Arctic Wolf نسبت به یک کمپین هک گسترده و در حال انجام هشدار داده اند که شامل یک صندوق ورودی ایمیل مملو از پیام های هرزنامه، یک حساب Teams جعل هویت پشتیبانی IT و استفاده از نرم افزار کاملا قانونی و روزمره است.

به نظر می رسد هدف دسترسی مداوم است، احتمالا در آماده سازی یک بدافزار یا عفونت باج افزار بعدی.

نحوه انجام حمله

Arctic Wolf در گزارش خود گفت که در بیش از 400 مورد همین الگو را مشاهده کرده است. این کار با قربانی آغاز می شود - کارمندی در شرکت هدف - صدها، احتمالا هزاران ایمیل اسپم را در یک بازه زمانی بسیار کوتاه دریافت می کند، بنابراین صندوق ورودی آنها کاملا مملو از ناخواسته می شود و همه ایمیل های معنی دار و ارزشمند را زیر کوهی از زباله دفن می کند.

چند لحظه بعد، همان شخص یک پیام Teams از یک کاربر دریافت می‌کند که از نظر همه حساب‌ها، قانونی به نظر می‌رسد: نام او به وضوح "IT Service Desk" را نشان می‌دهد و حتی گاهی اوقات یک نام کوچک در کنار آن دارد (چیزی شبیه به لیام، ایتان یا اسکات). آنها به قربانی می گویند که از مشکلاتی که با ایمیل خود دارند آگاه شده اند (همانطور که بخش فناوری اطلاعات باید) و راه حلی ارائه می دهند.

برای حل این مشکل، آنها نیاز به دسترسی عملی به صفحه کلید قربانی دارند، معمولا از طریق یک ابزار نظارت و مدیریت از راه دور قانونی مانند AnyDesk یا ScreenConnect.

بدیهی است که همه اینها یک حقه برای وادار کردن قربانی برای واگذاری دسترسی به دستگاه خود است. همان نهاد هم ایمیل‌های هرزنامه و هم پیام‌های تیم‌ها را ارسال کرد. حتی گاهی اوقات، آنها به جای ارسال پیام - از طریق تیم ها با قربانی تماس می گیرند - تا کل مصیبت را حتی باورپذیرتر کنند.

Arctic Wolf می‌گوید فعال‌کننده کلیدی کل طرح این واقعیت است که تیم‌های مایکروسافت با دسترسی خارجی (فدراسیون) به طور پیش‌فرض روشن ارسال می‌شوند. این بدان معناست که، مگر اینکه تیم واقعی IT تنظیمات پیش‌فرض را در Teams تغییر دهد، هر کارمندی می‌تواند پیام‌هایی را از هر شخص دیگری با حساب مایکروسافت 365 دریافت کند، حتی اگر متعلق به یک مستاجر کاملا متفاوت باشد (محیط اختصاصی در سرویس‌های ابری مایکروسافت). متأسفانه، این یک باگ نیست، یک ویژگی کاملا قانونی است که عوامل تهدید با خوشحالی از آن سوء استفاده می کنند:

Arctic Wolf می گوید: «این ویژگی بیشترین سوء استفاده مهاجمان است. "این فعالیت از هیچ آسیب‌پذیری شناخته شده تیم‌ها سوء استفاده نمی‌کند؛ از یک قابلیت همکاری قانونی و پیش‌فرض سوء استفاده می‌کند."

تیم های خود را قفل کنید

بدتر از همه، وقتی آنها درخواست دسترسی عملی می کنند، از قربانی نمی خواهند که نرم افزار خاصی را نصب کند. در بیشتر موارد، آنها فقط از آنها می خواهند که Quick Assist را بیاورند، ابزاری که مستقیما در ویندوز ساخته شده و توسط مایکروسافت امضا شده است و بنابراین نیازی به نصب ندارد. تنها کاری که قربانیان باید انجام دهند این است که یک کد شش رقمی ارسال کنند و آنها کلیدها را به پادشاهی تحویل دهند.

آنچه بعد از آن اتفاق می افتد حدس هر کسی است. سپس محققان متوجه شدند که مهاجمان یک ابزار RMM تجاری مانند AnyDesk یا ScreenConnect را برای به دست آوردن یک کانال کنترل جداگانه نصب کرده‌اند و اطمینان حاصل کنند که حتی اگر Quick Assist لغو شود، دسترسی خود را حفظ می‌کنند. سپس آنها شبکه IT هدف را ترسیم می کنند و تا آنجا که ممکن است شناسایی می کنند، احتمالا برای آماده سازی یک حمله باج افزار یا بدافزار.

دفاع در برابر این نوع حملات با قفل کردن درهای ضرب المثل تیم ها شروع می شود. Arctic Wolf می‌گوید: «بیشتر سازمان‌ها نیاز قانونی به چت خارجی باز و بدون مستاجر ندارند. طبق راهنمایی مایکروسافت در مدیریت جلسات خارجی و چت با افراد و سازمان‌ها با استفاده از هویت مایکروسافت، از «اجازه دادن به همه» به فهرست مجاز سازمان‌های مورد اعتماد حرکت کنید.»

دومین گام مهم آموزش کارکنان است. همه باید از این واقعیت آگاه باشند که فقط به این دلیل که پیامی از طرف Teams آمده است، به این معنی نیست که قانونی است. همین امر در مورد تماس صوتی یا ایمیل نیز صدق می کند.