Arctic Wolf varnar för Teams-kampanj där angripare utger sig för att vara IT-support

Cybersäkerhetsforskarna Arctic Wolf varnar för att angripare utger sig för att vara IT-support via Microsoft Teams i en pågående kampanj. Forskarna observerade mönstret i fler än 400 fall.

I de rapporterade attackerna får en anställd först hundratals, möjligen tusentals, skräppostmeddelanden på kort tid, vilket fyller inkorgen. Därefter kontaktar samma aktör den anställde via Teams från ett konto som utger sig för att vara ”IT Service Desk” och erbjuder hjälp med e-postproblemet. Aktören kan också ringa via Teams.

Bedragarna försöker få direkt åtkomst till enheten, ofta genom att be den anställde öppna Quick Assist, som är inbyggt i Windows, och dela en sexsiffrig kod. Arctic Wolf säger att angriparna därefter har installerat kommersiella verktyg för fjärrhantering, till exempel AnyDesk eller ScreenConnect, för att behålla en separat väg in till enheten. De kartlade också målets IT-nätverk och gjorde rekognosering, möjligen inför en attack med skadlig kod eller utpressningsprogram.

Enligt Arctic Wolf utnyttjar kampanjen Teams externa åtkomst, som är påslagen som standard och kan tillåta meddelanden mellan Microsoft 365-konton i olika klientorganisationer. Forskarna säger att aktiviteten använder en legitim samarbetsfunktion och inte utnyttjar någon känd sårbarhet i Teams. Arctic Wolf rekommenderar att organisationer ersätter inställningen ”tillåt alla” för extern chatt med en lista över betrodda organisationer och påminner anställda om att Teams-meddelanden och samtal, precis som e-post, inte automatiskt är legitima.