Uma nova e enganosa campanha de ataque emergiu onde atores de ameaça estão se passando por pessoal de suporte de TI através do Microsoft Teams para enganar funcionários a conceder acesso remoto aos seus sistemas. O que torna essa campanha perigosa é como ela usa ferramentas de negócios cotidianas e confiáveis para contornar a suspeita do usuário e infiltrar silenciosamente redes corporativas sem acionar defesas de segurança tradicionais.
Mecanismo de ataque e vetor de entrada
O ataque começa de forma simples. Um ator de ameaça, operando de um inquilino Microsoft separado, envia uma mensagem Teams não solicitada a um funcionário-alvo, enquanto se passa por pessoal de suporte de TI interno. Como o contato chega através de uma plataforma de colaboração familiar em vez de um e-mail suspeito, muitos funcionários instintivamente baixam a guarda.
O atacante então convence a vítima a ignorar os avisos de contato externo incorporados e aprovar uma sessão de assistência remota através do Microsoft Quick Assist. Uma vez que este passo é concluído, o atacante tem controle interativo total do dispositivo da vítima, geralmente em menos de um minuto.
Exploração de DLL side-loading
Uma vez dentro, o atacante não perde tempo. Dentro de 30 a 120 segundos de ganhar acesso remoto via Quick Assist, eles executam comandos de reconhecimento rápidos para verificar privilégios de usuário, coletar detalhes do host e avaliar a conectividade de rede. Se o sistema tiver acesso suficiente, o atacante implanta um payload escalonado em diretórios como ProgramData e usa DLL side-loading para executar código malicioso através de aplicativos confiáveis e digitalmente assinados.
Ferramentas como AcroServicesUpdater2_x64.exe, ADNotificationManager.exe e DlpUserAgent.exe foram observadas carregando módulos fornecidos pelo atacante de caminhos não padrão, permitindo que o código malicioso fosse executado sob a identidade de um aplicativo confiável. O mecanismo de infecção central nesta campanha é o DLL side-loading, uma técnica onde os exploradores exploram a maneira como o Windows carrega bibliotecas de suporte de aplicativos.
Persistência e movimentação lateral
Nesta campanha, os módulos carregados atuaram como carregadores intermediários que decifravam dados de configuração ocultos armazenados dentro do registro do Windows, em vez de escrever qualquer coisa suspeita no disco. Esse comportamento se alinha de perto com estruturas de intrusão como Havoc, que usam armazenamento baseado em registro para preservar a configuração de comando e controle criptografada através de reinicializações do sistema e tentativas de remediação.
Uma vez que o canal C2 estava ativo, o processo comprometido começou a enviar tráfego HTTPS de saída criptografado sobre a porta TCP 443 para infraestrutura em nuvem controlada pelo atacante, misturando-se com a atividade regular de negócios de rede. Os atacantes também instalaram software de gerenciamento remoto adicional como um canal de acesso secundário e aproveitaram sessões WinRM para se mover lateralmente através da rede em direção a sistemas de identidade.
Medidas de mitigação recomendadas
As organizações devem tomar as seguintes ações para reduzir a exposição a este tipo de ataque:
- Tratar contato externo não solicitado do Teams de pessoal de TI alegado como suspeito e verificar através de canais internos conhecidos primeiro.
- Restringir o Quick Assist e ferramentas de gerenciamento remoto apenas a funções de TI autorizadas.
- Habilitar regras de Redução de Superfície de Ataque (ASR) e Windows Defender Application Control (WDAC) para prevenir DLL sideloading de locais graváveis pelo usuário como ProgramData e AppData.
- Aplicar Acesso Condicional exigindo MFA e dispositivos compatíveis para todas as sessões administrativas.
- Habilitar Safe Links para Teams e Zero-hour Auto Purge (ZAP) para capturar mensagens maliciosas retroativamente.
- Restringir WinRM a estações de trabalho de gerenciamento autorizadas e monitorar ferramentas de sincronização de dados como Rclone no ambiente.
- Capacitar funcionários para identificar indicadores de inquilino externo no Teams e estabelecer uma frase de autenticação verbal entre equipe de helpdesk e usuários finais.