Хакери використовують Microsoft Teams для розгортання ransomware через фальшиву IT-підтримку

Кіберзлочинці використовують Microsoft Teams для атак

Кіберзлочинці використовували Microsoft Teams у багатомісячній кампанії соціальної інженерії, що призвела до розгортання ransomware Chaos. За даними звіту компанії Sophos, десятки компаній у США та Канаді стали мішенями цих атак.

Механізм атаки

Група загроз, відстежувана як STAC4749, ініціювала чати або дзвінки через Microsoft Teams, видаючи себе за службу підтримки або IT-відділ. Після встановлення віддаленої сесії за допомогою Microsoft Quick Assist або хмарного інструменту RemSupp, хакери розгортали PowerShell для забезпечення стійкості та виконання шкідливих програм. Атаки відбувалися в період з лютого по червень.

Цілі та мотивація

Цілями атак були організації в секторах послуг, виробництва, енергетики, будівництва та інженерії. Мотивація злочинців виявилася фінансовою, а не шпигунською. Хоча в деяких випадках дані були викрадені, дослідники не спостерігали поведінки, типової для акторів, орієнтованих на шпигунство, таких як довгострокова стійкість або прихований доступ. Атаки відповідали операціям подвійного вимагання, які надають пріоритет швидкості.

Використане програмне забезпечення та групи

У щонайменше трьох випадках хакери розгорнули Chaos ransomware на скомпрометованій системі. Час від початкового доступу до розгортання ransomware становив 17 годин в одному з випадків, що відповідає попереднім інцидентам з Chaos. Chaos ransomware-as-a-service активний з лютого 2025 року і пов'язаний з колишніми членами групи BlackSuit ransomware. Деякі тактики, використані в цій кампанії, збігаються з попередніми атаками Chaos, включаючи використання Microsoft Teams та Quick Assist для вішингу. Попередні атаки також використовували DWAgent та AnyDesk для горизонтального переміщення.

Що це означає для розробників

Новина демонструє, що зловмисники використовують PowerShell для забезпечення стійкості та виконання шкідливих програм після встановлення віддаленої сесії через інструменти, такі як Microsoft Quick Assist або RemSupp. Це підкреслює, що розробники, які створюють або інтегрують подібні інструменти, повинні бути обізнані з потенційними векторами їх зловживання.

Ключові факти

• Десятки компаній у США та Канаді стали мішенями.

• Атаки використовували Microsoft Teams для соціальної інженерії.

• Хакери видавали себе за IT-підтримку.

• Використовувалися Microsoft Quick Assist або RemSupp для віддалених сесій.

• Розгортався Chaos ransomware.

Джерела

• Hackers abuse Microsoft Teams in ransomware campaign through fake IT support