Descoberta e escopo do incidente
O grupo de ransomware DragonForce foi identificado utilizando uma técnica avançada de evasão para ocultar seu tráfego de comando e controle (C2). A gangue empregou um malware personalizado denominado 'Backdoor.Turn' para esconder comunicações maliciosas dentro da infraestrutura de relés do Microsoft Teams.
Essa técnica permite que o tráfego malicioso pareça legítimo, passando por firewalls e sistemas de detecção de intrusão que normalmente permitem tráfego de aplicativos de colaboração. A descoberta foi feita por pesquisadores de segurança que analisaram padrões de tráfego incomuns em redes corporativas.
Vetor e exploração
O Backdoor.Turn foi projetado para se comunicar através dos servidores de relé do Microsoft Teams, aproveitando a confiança que as organizações têm na plataforma. Isso facilita a persistência e a exfiltração de dados sem levantar suspeitas imediatas.
A exploração envolve a injeção de pacotes de dados dentro de chamadas de API legítimas do Teams. Isso permite que o malware receba comandos e envie dados roubados sem ser bloqueado por políticas de segurança padrão.
Impacto e alcance
O uso de uma plataforma de colaboração amplamente adotada como o Microsoft Teams amplia o alcance do ataque. Organizações que dependem do Teams para comunicação interna podem inadvertidamente hospedar tráfego malicioso.
O impacto inclui a perda de dados sensíveis, interrupção de operações devido ao ransomware e potencial comprometimento de credenciais de usuário. A técnica de evasão torna a detecção tradicional baseada em assinatura ineficaz.
Medidas de mitigação recomendadas
Equipes de segurança devem implementar as seguintes medidas para mitigar o risco:
- Monitoramento de tráfego: Implemente soluções de análise de tráfego que detectem padrões anômalos dentro do tráfego do Teams.
- Inspeção profunda: Utilize gateways de segurança que realizam inspeção profunda de pacotes (DPI) para identificar conteúdo malicioso.
- Segmentação de rede: Isolate o tráfego do Teams em redes segmentadas para limitar o movimento lateral.
- Atualização de software: Mantenha o Microsoft Teams e o sistema operacional atualizados com as últimas correções de segurança.
Implicações para a segurança corporativa
Este incidente destaca a necessidade de uma abordagem de segurança baseada em risco, onde a confiança em aplicativos legítimos é verificada continuamente. A segurança de aplicações deve ser integrada aos controles de rede para garantir que o tráfego legítimo não seja usado para fins maliciosos.
O que fazer agora
Revise os logs de tráfego de rede para identificar comunicações incomuns com servidores do Microsoft Teams. Considere a implementação de ferramentas de detecção de ameaças que utilizam inteligência artificial para identificar comportamentos anômalos. Mantenha-se atualizado sobre as táticas, técnicas e procedimentos (TTPs) do grupo DragonForce.