Cyberprzestępcy stosują nową metodę ataku, wykorzystując Microsoft Teams do budowania fałszywego zaufania. Podszywają się pod pracowników wsparcia technicznego, używając profesjonalnie wyglądających nazw wyświetlanych oraz etykiet typu „Internal”, aby uśpić czujność ofiar i zignorować ostrzeżenia o zewnętrznym użytkowniku.
Atak często poprzedzony jest zalewem niechcianych wiadomości e-mail, co ma wywołać u pracownika poczucie chaosu i pilnej potrzeby rozwiązania problemu. Po nawiązaniu kontaktu w Teams, napastnicy proszą o udostępnienie ekranu lub zdalną pomoc, wykorzystując do tego legalne narzędzia, takie jak Quick Assist, AnyDesk czy TeamViewer.
Analiza przeprowadzona przez Arctic Wolf wykazała złożony łańcuch infekcji. Po uzyskaniu dostępu, hakerzy instruują ofiarę do uruchomienia skryptu PowerShell, który pobiera paczkę MSI z Azure Blob Storage. Następnie uruchamiany jest złośliwy kod, który wykorzystuje szyfrowanie AES do ukrycia kolejnych etapów ataku, w tym implantu napisanego w Pythonie.
Po przejęciu kontroli, przestępcy często instalują dodatkowe narzędzia do zdalnego zarządzania, aby zachować dostęp do sieci nawet po usunięciu pierwotnego malware'u. Atakujący aktywnie przeszukują Active Directory w celu zbierania informacji o użytkownikach i komputerach wewnątrz organizacji.
