Ataques via Teams permitem acesso a redes corporativas em menos de 15 minutos

Cibercriminosos estão usando o chat externo do Microsoft Teams para invadir empresas em menos de 15 minutos.

Um relatório divulgado nesta segunda-feira (26) pela empresa de cibersegurança Arctic Wolf revela que o recurso, ativado por padrão nas contas, serve como porta de entrada para ataques de engenharia social.

Os invasores criam perfis falsos que simulam equipes de suporte técnico e enganam funcionários para obter acesso remoto aos computadores.

A tática envolve a criação de perfis em minutos com nomes falsos como “IT Service Desk”.

Para chamar a atenção e fabricar uma falsa urgência, os invasores costumam bombardear o e-mail da vítima com centenas de mensagens automáticas de inscrições e boletins.

Logo depois, a mensagem no Teams chega com a oferta de ajuda para resolver o problema criado por eles mesmos.

A campanha mapeou mais de 400 incidentes com o mesmo padrão de comportamento.

De acordo com a pesquisa da Arctic Wolf, os golpistas combinam inundação de e-mails, falsificação de identidade corporativa e conversas rápidas para induzir o usuário a instalar ferramentas legítimas de suporte remoto, como o Quick Assist , que já vem integrado ao Windows .

“Os criminosos combinam envio massivo de e-mails, personificação convincente do suporte de TI, locatários e domínios recém-criados e engenharia social rápida para mover as vítimas de um chat rotineiro para o acesso remoto”, destacam os pesquisadores, no relatório técnico.

Como a invasão acontece na prática Após ganhar a confiança da vítima pelo chat, o golpista conduz a pessoa a baixar arquivos maliciosos ou executar comandos no sistema.

Em alguns casos, a instrução leva o usuário a rodar linhas de código no PowerShell que baixam pacotes ocultos e permitem a execução de softwares de controle remoto comercial, como AnyDesk e ScreenConnect .

Como desativar a configuração “Acesso Externo” no Microsoft Teams que permite que usuários da sua organização se comuniquem com contas do Teams não gerenciadas.

Foto: Reprodução/Artic Wolf Com o acesso liberado, os invasores navegam pela rede interna da organização e roubam dados ou preparam o terreno para ataques de ransomware, quando os sistemas são bloqueados e cobram resgate.

O processo inteiro acontece em questão de minutos, muitas vezes antes que a equipe interna de segurança perceba a movimentação atípica.