Arctic Wolf alerta de una campaña en Teams que suplanta al soporte informático

Los investigadores de ciberseguridad de Arctic Wolf advierten de una campaña en curso en la que los atacantes se hacen pasar por personal de soporte informático a través de Microsoft Teams. Los investigadores observaron el patrón en más de 400 casos.

En los ataques descritos, un empleado recibe primero cientos, posiblemente miles, de correos de spam en poco tiempo, que saturan su bandeja de entrada. Después, el mismo actor contacta con el empleado por Teams desde una cuenta que se presenta como “IT Service Desk” y ofrece ayuda con el problema del correo. También puede llamar por Teams.

Los impostores buscan acceso directo al dispositivo y suelen pedir al empleado que abra Quick Assist, una herramienta integrada en Windows, y comparta un código de seis dígitos. Arctic Wolf afirma que después los atacantes instalaron herramientas comerciales de administración remota, como AnyDesk o ScreenConnect, para conservar otra vía de acceso al dispositivo. También cartografiaron la red informática de la organización objetivo y realizaron labores de reconocimiento, posiblemente como preparación para un ataque con malware o ransomware.

Según Arctic Wolf, la campaña se aprovecha del acceso externo de Teams, activado de forma predeterminada, que puede permitir mensajes entre cuentas de Microsoft 365 de distintos entornos. Los investigadores afirman que la actividad utiliza una función legítima de colaboración y no explota una vulnerabilidad conocida de Teams. Arctic Wolf recomienda que las organizaciones sustituyan la opción “permitir a todos” en el chat externo por una lista de organizaciones de confianza y recuerden a sus empleados que los mensajes y llamadas de Teams, al igual que los correos electrónicos, no son legítimos automáticamente.