Microsoft, Teams Üzerinden Sahte BT Destek Kampanyası İçin Uyardı

Microsoft, Microsoft Teams'te başlayan ve fidye yazılımı bulaşması ile veri hırsızlığına kadar ilerleyebilen devam eden bir saldırı kampanyası hakkında uyarıyor.

Microsoft blogunda yayımlanan bir rapora göre, kimliği açıklanmayan tehdit aktörleri çeşitli işletmelerdeki çalışanlara Teams sohbetleri üzerinden BT personeli gibi davranarak ulaşıyor. Mağdurları ekran paylaşımı veya uzaktan izleme ve yönetim araçlarıyla uzaktan erişim vermeye zorluyorlar. Erişim sağlandıktan sonra kötü amaçlı yazılım yükleyicileri ve başka implantlar kuruyorlar.

Kötü amaçlı yazılım; ana bilgisayar keşfi, güvenlik ürünleri ve sanallaştırma keşfi ve periyodik masaüstü ekran görüntüsü alma gibi faaliyetleri mümkün kılıyor. Saldırganlar ayrıca yerel araçlar ve Active Directory Service Interfaces (ADSI) sorgularıyla etki alanı hesaplarını, sunucuları ve kullanıcıları listeliyor, ardından ağ içinde yatay hareket ediyor.

Kampanyanın son aşamalarında değerli veriler belirlenip dışarı aktarılıyor ve ardından fidye yazılımı bulaşıyor. Microsoft saldırganların kimliğini açıklamıyor ve sahte BT desteği tekniğinin Cozy Bear, FIN7 ve Storm-1811 dahil birçok grup tarafından kullanıldığını belirtiyor. ShinyHunters da erişim elde etmek için Teams'i kullanıyor, ancak nadiren şifreleyici dağıtıyor ve bunun yerine veri dışarı aktarmaya odaklanıyor.

Microsoft işletmelerden çalışan eğitimini güçlendirmelerini, kurum içi yardım masası doğrulama ifadeleri belirlemelerini, istenmeyen destek iletişimlerini doğrulamalarını ve Teams ile e-postayı sosyal mühendisliğe karşı güçlendirmelerini istiyor. Şirket ayrıca Safe Links ve Zero-hour auto purge (ZAP) özellikleriyle Microsoft Defender for Office 365 kullanılmasını öneriyor.