Mensagens falsas de suporte de TI no Microsoft Teams levam funcionários a dar acesso remoto aos computadores

A Arctic Wolf analisou mais de 400 incidentes em que criminosos usaram o chat externo do Microsoft Teams para ganhar o primeiro acesso a redes de empresas, e descreveu uma cadeia de ataque que se repete entre os casos.

Um recurso ativado de fábrica

O recurso explorado vem ligado por padrão, de modo que qualquer usuário de outra organização do Microsoft 365 pode localizar, conversar e ligar para os funcionários, desde que as duas organizações permitam o acesso externo.

Não há falha de software nesse caso, porque o ataque usa uma função legítima do próprio produto, e por isso a confiança do funcionário é o ponto fraco explorado.

Em muitos casos, a caixa de entrada da vítima recebe centenas de confirmações de newsletters e inscrições em poucos minutos, o que cria urgência e enterra os e-mails de alerta reais.

Logo depois chega uma mensagem de um contato com nome de suporte de TI, com a palavra (Internal) ao lado do nome, oferecendo resolver exatamente o problema que o próprio atacante criou.

Como a identidade falsa é montada

Entre 30% e 40% dos casos analisados usaram domínios padrão .onmicrosoft.com, que não exigem verificação e podem ser criados em minutos.

A Arctic Wolf também observou uma migração para domínios próprios dos atacantes, e cerca de metade dos domínios pagos usados nesses casos tinha a extensão .top.

Os nomes de exibição seguem um padrão de suporte técnico, com frases como IT Support ou Help Desk, às vezes acompanhadas de um primeiro nome, para dar a impressão de um integrante da equipe interna.

Em alguns casos, os atacantes também colocam o nome da empresa-alvo no próprio nome de exibição, para parecer ainda mais legítimos.

Da conversa ao acesso remoto

O objetivo imediato costuma ser fazer a vítima instalar uma ferramenta de acesso remoto, e o Quick Assist, que já vem no Windows e é assinado pela Microsoft, é o mais usado, porque basta a vítima ler em voz alta um código de seis dígitos.

Quando a conversa escrita não basta, os atacantes ligam para a vítima pelo próprio Teams, numa técnica chamada vishing, para convencê-la a instalar o programa.

Para manter o acesso mesmo que o primeiro programa seja removido, eles instalam uma segunda ferramenta comercial de gerenciamento remoto (RMM), como AnyDesk, ScreenConnect ou TeamViewer, que funciona como um canal de controle independente.

Segundo os clientes que relataram os casos à Arctic Wolf, a execução do código malicioso chegou a menos de 15 minutos depois da primeira resposta da vítima.

Em um dos casos analisados, o usuário foi orientado a executar um comando no PowerShell e abrir o arquivo baixado, e em seguida um script consultou o Active Directory para listar computadores e usuários da organização.

Como se defender e o que a perícia deve olhar

A recomendação repetida pela Arctic Wolf, e alinhada à orientação da Microsoft, é trocar o acesso aberto por uma lista de domínios externos confiáveis no painel de administração do Teams, bloqueando as demais organizações.

Também é recomendável confirmar qualquer pedido de suporte por um canal diferente, como um telefone já conhecido da equipe de TI.

Para a perícia, o primeiro sinal útil é o evento de criação do chat no Microsoft 365, que acontece antes de qualquer ato da vítima, e o cruzamento com os registros de ferramentas de acesso remoto e de autenticação no computador afetado.

Uma conversa inesperada de outra organização, sobretudo depois de uma enxurrada de e-mails ou com nome de suporte técnico, deve ser tratada como suspeita desde o começo.