Arctic Wolf, çalışanları hedef alan Teams taklit kampanyasına karşı uyardı

Siber güvenlik araştırmacıları Arctic Wolf, saldırganların devam eden bir kampanyada Microsoft Teams üzerinden BT desteği gibi davrandığı konusunda uyarıyor. Araştırmacılar bu örüntüyü 400'den fazla vakada gözlemledi.

Bildirilen saldırılarda bir çalışan önce kısa sürede yüzlerce, hatta muhtemelen binlerce spam e-posta alarak gelen kutusunun dolmasıyla karşılaşıyor. Ardından aynı oluşum, Teams üzerinden “IT Service Desk” adlı bir hesapla çalışana ulaşıp e-posta sorununa yardım teklif ediyor. Teams üzerinden arama da yapabiliyor.

Taklitçiler, çalışandan çoğunlukla Windows'ta yerleşik Quick Assist aracını açmasını ve altı haneli bir kodu paylaşmasını isteyerek cihaza doğrudan erişim sağlamaya çalışıyor. Arctic Wolf, saldırganların daha sonra cihaza başka bir erişim yolu sağlamak için AnyDesk veya ScreenConnect gibi ticari uzaktan yönetim araçları kurduğunu söylüyor. Saldırganlar ayrıca hedefin BT ağının haritasını çıkardı ve keşif yaptı; bu çalışmalar kötü amaçlı yazılım veya fidye yazılımı saldırısının hazırlığı olabilir.

Arctic Wolf, kampanyanın Teams'te varsayılan olarak açık olan ve farklı kiracılardaki Microsoft 365 hesaplarının mesajlaşmasına izin verebilen harici erişim özelliğini kötüye kullandığını belirtiyor. Araştırmacılara göre bu, bilinen bir Teams güvenlik açığından yararlanmıyor; meşru bir iş birliği özelliğini kullanıyor. Arctic Wolf, kuruluşlara harici sohbeti “herkese izin ver” ayarından güvenilir kuruluşların izin listesine geçirmelerini ve çalışanlara Teams mesajları ile aramalarının da e-posta gibi otomatik olarak meşru sayılamayacağını anlatmalarını öneriyor.