Attackers Use Microsoft Teams IT Support Scams to Deploy Malware and Ransomware

Escroqueries au support informatique via Microsoft Teams : Vecteur d’accès initial pour ransomwares

Des acteurs malveillants exploitent la fonctionnalité de chat externe de Microsoft Teams pour usurper l’identité de services de support informatique et déployer des logiciels malveillants, notamment des ransomwares comme Chaos. Cette méthode repose sur l’ingénierie sociale plutôt que sur une faille logicielle spécifique (pas de CVE associée).

Points clés :

• Mode opératoire : Les attaquants utilisent des locataires Microsoft 365 nouvellement créés (souvent avec des domaines en *.onmicrosoft.com ou des TLD comme .top) avec des noms d’affichage trompeurs tels que “IT Support” ou “HelpDesk”.
• Techniques d’ingénierie sociale :
  • Bombardement d’e-mails : L’inondation de la boîte de réception de la victime avec des notifications de service pour créer un sentiment d’urgence.
  • Usurpation d’identité : Contact via Teams sous couvert d’assistance technique pour résoudre le “problème” créé par le bombardement d’e-mails.
  • Accès à distance : Manipulation de la victime pour qu’elle autorise la prise de contrôle via des outils légitimes (AnyDesk, TeamViewer, ScreenConnect, etc.).
• Chaîne d’infection : Une fois l’accès à distance obtenu, les attaquants effectuent une reconnaissance, installent des backdoors (ex: GoGRPC), se déplacent latéralement vers les contrôleurs de domaine, exfiltrent des données et déploient des ransomwares. Ils évitent souvent d’envoyer des liens directement dans Teams pour contourner les outils de sécurité (Safe Links).

Recommandations :

• Gestion des accès externes : Restreindre ou désactiver la communication avec des organisations externes dans Microsoft Teams si elle n’est pas strictement nécessaire.
• Sensibilisation : Former les utilisateurs à la méfiance envers les demandes de support inattendues, même si elles semblent provenir de sources internes ou portent le nom de l’entreprise.
• Surveillance des terminaux et des identités : Ne pas se reposer uniquement sur l’analyse des messages ; monitorer étroitement les activités inhabituelles sur les postes de travail (exécution de scripts PowerShell, outils d’accès à distance non approuvés, connexions réseau vers des serveurs inconnus).
• Politique de support : Établir des procédures claires où le support informatique n’utilise jamais d’outils de chat externe pour demander l’exécution de commandes ou le téléchargement de fichiers.

Source