Microsoft varnar för falsk helpdesk-kampanj i Teams

Microsoft varnar för en pågående hackerkampanj som börjar med ett meddelande i Microsoft Teams och kan sluta med ransomware och datastöld.

Enligt en rapport på Microsofts blogg kontaktar okända hotaktörer anställda på olika företag via Teams-chattar och utger sig för att vara IT-personal. De pressar offren att ge fjärråtkomst genom skärmdelning eller verktyg för fjärrövervakning och fjärrhantering. När åtkomsten är beviljad installerar angriparna skadeprogramsladdare och andra implantat.

Skadeprogrammet möjliggör bland annat kartläggning av värddatorer, identifiering av säkerhetsprodukter och virtualisering samt periodiska skärmdumpar av skrivbordet. Angriparna kartlägger också domänkonton, servrar och användare med inbyggda verktyg och frågor via Active Directory Service Interfaces (ADSI), innan de rör sig i sidled genom nätverket.

I kampanjens slutskede identifieras och hämtas värdefulla data, följt av en ransomware-infektion. Microsoft namnger inte angriparna och säger att tekniken med falsk IT-support används av flera grupper, däribland Cozy Bear, FIN7 och Storm-1811. ShinyHunters använder också Teams för att få offer att ge åtkomst, men distribuerar sällan en krypterare och fokuserar i stället på dataexfiltrering.

Microsoft uppmanar företag att stärka personalutbildningen, införa interna autentiseringsfraser för helpdesk, verifiera oombedda supportkontakter och stärka Teams och e-post mot social manipulation. Företaget rekommenderar också Microsoft Defender for Office 365 med Safe Links och Zero-hour auto purge (ZAP).