WORLDTECH攻击者利用Microsoft Teams冒充IT支持实施恶意软件和勒索软件攻击
由 WORLDTECH 译自英文。事实、数字、名称和来源均与英文原文一致。 English
事件经过
这些消息来自通过新建或收购的Microsoft 365租户建立的Teams身份。网络安全研究人员提醒关注其所称的“反复出现的社会工程学模式”，该模式已在数百起案例中出现：威胁行为者利用Microsoft Teams的外部聊天创建功能实施冒充诈骗，或投递恶意软件。Microsoft是总部位于雷德蒙德的软件及软件开发公司。
“这些事件中已出现一致的攻击者行为模式：使用相同的一次性租户、相同的“IT Support (Internal)”显示名称、相同的远程访问工具，并且越来越多地使用相同的载荷域名，”Arctic Wolf Labs在与The Hacker News分享的报告中表示。这些攻击始终使用与IT相关的显示名称或听起来很友好的名字，以规避Teams对外部用户的警告。
该网络安全公司调查的案例中，近30–40%涉及使用*.onmicrosoft[.]com，这是创建Microsoft 365租户时Microsoft自动生成的永久备用域名。此手法旨在制造虚假的紧迫感，随后很快出现Teams IT支持消息，声称可以帮助解决问题。
该活动与STAC4749的手法一致，该组织曾使用“.top”顶级域名注册与IT相关的云域名，并利用看似合理的员工用户名使账户显得真实。据Sophos报告，这些攻击已导致Chaos勒索软件（一种锁定文件并索要赎金的软件）被部署。
这些攻击专门针对启用了外部访问的组织。其中还包含语音钓鱼（vishing）环节，诱骗受害者授予其对键盘的实时操作权限，手段是利用合法的远程监控与管理（RMM）工具，如Quick Assist、AnyDesk、ScreenConnect（ConnectWise）、TeamViewer、Atera、Zoho Assist、NetSupport和LogMeIn。