Uma nova campanha de ameaças identificada como Spring Ring está explorando a confiança dos usuários em ferramentas de colaboração corporativa para obter acesso inicial e mover-se lateralmente dentro de redes. Analistas da Unit 42 relataram que atacantes utilizam contas externas que imitam suporte interno para iniciar chats no Microsoft Teams, seguidos por chamadas de voz para persuadir vítimas a conceder controle remoto.
Técnicas de engenharia social
O ataque combina phishing via chat com vishing (phishing por voz). Os criminosos criam identidades falsas em tenants .onmicrosoft.com com nomes como "help desk" ou "IT assistance". Após estabelecer contato por mensagem, eles iniciam chamadas de voz, criando urgência e legitimidade para solicitar que o usuário instale softwares de assistência remota ou execute comandos maliciosos.
Evolução para controle de domínio
Em uma variante observada, após obter acesso remoto, os atacantes utilizam scripts PowerShell para baixar trojans ofuscados e tentar técnicas de relé NTLM, como PetitPotam, visando comprometer controladores de domínio. Isso permite que eles elevem privilégios de um único workstation para controle total da rede corporativa, demonstrando a gravidade da ameaça à identidade.
Sinais de comprometimento (IoCs)
Equipes de segurança devem monitorar conversas de Teams originadas de domínios externos não confiáveis, chamadas de voz inesperadas de números desconhecidos e lançamentos de ferramentas de suporte remoto não aprovadas. Logs de auditoria do Microsoft 365 são essenciais para identificar padrões de comportamento anormais, como múltiplas tentativas de login ou acesso a recursos sensíveis fora do horário comercial.
Recomendações para CISOs
Políticas de segurança devem proibir explicitamente a instalação de ferramentas de suporte remoto baseadas em solicitações recebidas via chat ou telefone sem verificação out-of-band. Treinamento de conscientização deve enfatizar que o departamento de TI nunca solicita credenciais ou execução de código através desses canais. Implementar restrições de acesso externo no Teams também reduz a superfície de ataque.
Monitoramento comportamental
Além de bloqueios técnicos, o monitoramento comportamental de usuários é vital. Alertas devem ser configurados para detectar atividades incomuns, como downloads de executáveis de URLs desconhecidas ou conexões SMB para controladores de domínio. A integração de inteligência de ameaças com plataformas de resposta automatizada pode acelerar a contenção de incidentes deste tipo.