Fals suport IT pe Teams: malware în mai puțin de 15 minute

Mai întâi, căsuța de email se umple cu sute de newslettere și confirmări de abonare pe care nu le-a cerut nimeni. Câteva minute mai târziu, pe Microsoft Teams, apare mesajul unui „tehnician IT” care se oferă să rezolve problema. Este schema documentată de Arctic Wolf în peste 400 de incidente și preluată pe 26 și 27 octombrie 2026 de The Hacker News, Help Net Security, Infosecurity Magazine și Dark Reading: în unele cazuri trec mai puțin de 15 minute de la primul contact până la rularea codului malițios, iar unele intruziuni s-au încheiat cu furt de date și ransomware.

Textul complet al cercetării este redat mai ales de Help Net Security: cifrele și detaliile tehnice care urmează provin de acolo, iar celelalte publicații confirmă schema și timpii.

Ce s-a întâmplat

Atacul nu exploatează nicio vulnerabilitate a Teams. Folosește abuziv o funcție legitimă: accesul extern (federarea), activat implicit, care permite unui utilizator dintr-un alt tenant Microsoft 365 să caute, să scrie și să sune angajații unei organizații, dacă ambii tenanți permit acest lucru. Potrivit cercetătorilor, este funcția cea mai abuzată în aceste cazuri, iar mutarea conversației pe Teams ocolește neîncrederea pe care angajații au învățat să o aibă față de email.

Atacatorii pregătesc identități credibile:

• între 30 și 40% dintre cazuri folosesc tenanți gratuiți onmicrosoft.com, creați în câteva minute și fără verificare, cu nume precum „helpdeskteam365” sau „itcoreportal”;
• mai recent au trecut la domenii plătite: aproximativ 50% pe .top, aproximativ 40% pe .com și puțin peste 5% pe domenii pe mai multe niveluri, precum .com.pl, .com.vn și .com.br. Sophos descrisese deja aceeași schimbare în campania ransomware Chaos;
• numele afișate adaugă „(Internal)”, deși Teams marchează expeditorul ca extern, sau un prenume, ca în „IT Service Desk (Matthew)”; în cazurile cele mai recente conțin numele sau domeniul companiei vizate, iar unele mesaje sunt în limba locală. Peste 100 de nume conțin emoji (scuturi, chei fixe), care, după Arctic Wolf, ar putea indica identități generate cu instrumente de IA.

Publicațiile amintesc că tehnica nu este nouă: Microsoft a descris-o la mijlocul lui 2024 în atacuri legate de Black Basta, iar de atunci a apărut în operațiunile Cactus, 3AM și Chaos. Dark Reading sugerează o posibilă legătură a campaniei actuale cu Black Basta, fără o atribuire sigură.

Lanțul de atac

1. Email bombing: căsuța victimei este inundată cu abonări și confirmări.
2. Contact pe Teams dintr-un tenant extern, adesea către mai mulți angajați într-un interval de circa cinci minute: pentru cercetători, probabil automatizat.
3. Apel vocal pe Teams și cererea de a instala un instrument de acces de la distanță. Cel mai folosit este Quick Assist, inclus în Windows: victimei îi ajunge să citească un cod de șase cifre. Apar și AnyDesk și ScreenConnect, adesea ca a doua cale de acces, care rămâne după eliminarea primei.
4. Niciun link în chat, unde ar fi analizat: fișierele malițioase le descarcă atacatorul în timpul sesiunii de la distanță.
5. Execuție: într-un caz, falsul tehnician l-a pus pe angajat să ruleze o comandă PowerShell care a declanșat un lanț de scripturi ascunse; ultimul a instalat un implant în Python care a colectat numele și descrierile tuturor conturilor de utilizator și de computer din Active Directory și le-a trimis către servere controlate de atacatori.

În unele cazuri, alerta pentru furt de credențiale s-a declanșat în același timp cu cea pentru primul chat pe Teams: când s-a uitat cineva, calculatorul era deja compromis.

Tehnici MITRE ATT&CK

Pe baza celor descrise, lanțul corespunde tehnicilor: Email Bombing (T1667), Impersonation (T1656), Spearphishing via Service (T1566.003) și Spearphishing Voice (T1566.004), Remote Access Tools (T1219), PowerShell (T1059.001), Domain Account Discovery (T1087.002) și Exfiltration Over C2 Channel (T1041), până la Data Encrypted for Impact (T1486) în cazurile cu ransomware. Sursele nu publică CVE-uri și nici indicatori, în afara tiparelor de nume și domenii.

Impactul pentru companiile europene și italiene

Orice organizație cu Microsoft 365 și federarea Teams deschisă este expusă, indiferent de sector. Viteza lasă puțin loc detecției: apărarea trebuie să stea mai ales în configurare și în proceduri.

Pentru entitățile NIS2 (în Italia, Decretul legislativ 138/2024), instruirea personalului, controlul accesului și gestionarea incidentelor sunt măsuri obligatorii, iar un ransomware care întrerupe serviciile poate fi un incident semnificativ de notificat la CSIRT Italia. Lista conturilor din Active Directory, cu nume și descrieri, conține date personale: furtul ei trebuie evaluat ca încălcare a securității datelor conform GDPR.

Ce să faci acum

1. Limitează accesul extern din Teams: dacă nu ai nevoie să fie deschis tuturor, permite chaturile externe doar cu domeniile partenerilor (listă de permisiuni).
2. Blochează conturile Teams negestionate și tenanții de probă din setările de acces extern.
3. Redu instrumentele de acces de la distanță: Quick Assist, AnyDesk, ScreenConnect și altele similare doar pentru personalul IT autorizat, cu control al aplicațiilor pe celelalte calculatoare.
4. Spune clar cum te contactează IT-ul: suportul adevărat nu scrie din tenanți externi și nu cere instalarea de software de acces de la distanță. Orice cerere se verifică pe un canal intern cunoscut.
5. Corelează semnalele: un val de emailuri de abonare urmat de un chat extern pe Teams, pornirea Quick Assist sau a unui nou software de acces de la distanță, PowerShell cu scripturi înlănțuite, interpretoare Python în folderele utilizatorilor și interogări masive în Active Directory.
6. Pregătește răspunsul: cine primește un contact suspect trebuie să știe imediat cui să-l semnaleze, iar calculatorul trebuie izolat înainte de investigație.

Cum ajută ARXDOME

Pe calculatoarele și serverele cu agentul ARXDOME, ARX Sentry colectează inventarul de software, procese și porturi: un AnyDesk sau un ScreenConnect apărut fără autorizare se vede. Paginile SOC arată evenimente, autentificări și sesiuni de desktop la distanță, cu tacticile MITRE ATT&CK pentru fiecare calculator. Dacă un calculator este suspect, ARX Shield îl izolează de rețea cu un clic și îl eliberează doar când este sigur.

Ultima actualizare: 27 octombrie 2026