В корпоративных сетях распространяется новая схема мошенничества: злоумышленники используют Microsoft Teams для получения удаленного доступа к компьютерам сотрудников. Сначала они представляются специалистами технической поддержки, а затем проникают во внутреннюю инфраструктуру, создавая условия для кражи данных или атаки с использованием программ-вымогателей.
Описание
Поскольку мессенджер стал привычным рабочим инструментом, общение через него вызывает меньше подозрений, чем электронные письма. Мошенник, зарегистрированный во внешней организации, связывается с сотрудником от имени службы поддержки и сообщает о срочной необходимости обновить систему, проверить учетную запись или устранить неполадку. Для убедительности он может перезвонить по голосовой связи, чтобы жертва не сохраняла в переписке инструкции, которые выглядят подозрительно.
Затем пользователя просят открыть легитимное приложение для удаленного управления и ввести короткий код подключения. После того как доступ предоставлен, мошенник получает такой же контроль над устройством, как если бы сидел за ним лично. По данным Microsoft Threat Intelligence, именно на этом этапе кампания переходит от обмана к полноценному вторжению.
Оператор атаки действует вручную, а не полагается на автоматическую вредоносную рассылку. Через удаленное подключение он запускает встроенные средства Windows, чтобы загрузить из облачного хранилища файл, замаскированный под исправление или обновление. Установка происходит в фоновом режиме, без каких-либо видимых окон и предупреждений. Сотрудник не подозревает, что на его компьютер попало вредоносное программное обеспечение.
Технической особенностью кампании является использование легитимной среды выполнения JavaScript, которая обычно применяется для работы современных веб-сервисов. Вредоносный пакет содержит зашифрованный сценарий, который запускается с помощью этой среды. Благодаря такому приему вредоносное ПО не выглядит как классическая программа и может избежать проверок, ориентированных на поиск необычных исполняемых файлов.
После запуска вредоносная закладка закрепляется в системе, а точнее, настраивается на автоматический запуск при следующем входе в учетную запись. Для этого используются стандартные механизмы автозагрузки Windows, например записи в системном реестре или ярлыки в папке автозапуска. Созданные элементы имитируют обновление браузера Edge и называются соответствующим образом, поэтому даже при проверке не вызывают вопросов.
В дальнейшем вредоносная программа поддерживает связь с управляющим сервером злоумышленников через зашифрованные интернет-запросы. Оператор отправляет на зараженный компьютер команды, которые выполняются в среде JavaScript. В ходе наблюдений фиксировались задачи по сбору сведений о защитных продуктах, видеокарте и других характеристиках оборудования. Такая информация помогает мошенникам понять, находятся ли они в реальной корпоративной среде или в изолированной песочнице, используемой аналитиками безопасности.
В числе команд также были регулярные снимки экрана. Оператор делал скриншоты рабочего стола, сжимал их и отправлял на свой сервер, чтобы видеть действия сотрудника и находить ценные данные. Такой ручной подход позволяет адаптировать атаку под конкретную жертву и обходить стандартные средства защиты.
После успешного внедрения на одном компьютере злоумышленник переходит к разведке внутренней сети. Используя стандартные административные утилиты и запросы к корпоративному каталогу Active Directory, он составляет карту домена: перечисляет учетные записи, серверы и компьютеры, доступные для управления. Собранные данные указывают на то, что мошенник ищет системы, где хранятся учетные данные и ключевые элементы инфраструктуры.
Особое внимание уделяется так называемым контроллерам домена - серверам, которые проверяют подлинность учетных записей, и центрам сертификации, управляющим цифровыми сертификатами. Получив доступ к таким системам, атакующий может полностью контролировать корпоративную сеть. Перемещение между компьютерами происходит по протоколу удаленного управления Windows, который применяют и легитимные администраторы, поэтому трафик сложно отличить от обычной деятельности.
Высокая степень вовлеченности оператора отличает эту атаку от массовых фишинговых кампаний, где злоумышленники собирают пароли и не продвигаются дальше. Здесь каждый шаг контролируется человеком, который выбирает цели и развивает вторжение. Такая тактика типична для подготовительного этапа перед масштабной кражей данных, вымогательством или развертыванием шифровальщиков, блокирующих работу всей организации.
Для защиты предприятиям стоит ограничить возможность внешних пользователей связываться с сотрудниками в Microsoft Teams. Сотрудников необходимо инструктировать, что служба поддержки никогда не просит открыть доступ к компьютеру или сообщить код удаленного управления. Кроме того, следует настроить мониторинг для обнаружения несанкционированного использования средств удаленного администрирования и необычных соединений с внутренними серверами. Эти меры позволяют разорвать цепочку атаки до того, как мошенник получит контроль над ключевыми элементами инфраструктуры.
Индикаторы компрометации
