Хакери використовують Microsoft Teams для розгортання ransomware через фальшиву IT-підтримку

Кіберзлочинці використовують Microsoft Teams для атак

Кіберзлочинці використовували Microsoft Teams у багатомісячній кампанії соціальної інженерії, що призвела до розгортання ransomware Chaos. За даними звіту компанії Sophos, десятки компаній у США та Канаді стали мішенями цих атак.

Механізм атаки

Група загроз, відстежувана як STAC4749, ініціювала чати або дзвінки через Microsoft Teams, видаючи себе за службу підтримки або IT-відділ. Після встановлення віддаленої сесії за допомогою Microsoft Quick Assist або хмарного інструменту RemSupp, хакери розгортали PowerShell для забезпечення стійкості та виконання шкідливих програм. Атаки відбувалися в період з лютого по червень.

Цілі та мотивація

Цілями атак були організації в секторах послуг, виробництва, енергетики, будівництва та інженерії. Мотивація злочинців виявилася фінансовою, а не шпигунською. Хоча в деяких випадках дані були викрадені, дослідники не спостерігали поведінки, типової для акторів, орієнтованих на шпигунство, таких як довгострокова стійкість або прихований доступ. Атаки відповідали операціям подвійного вимагання, які надають пріоритет швидкості.

Використане програмне забезпечення та групи

У щонайменше трьох випадках хакери розгорнули Chaos ransomware на скомпрометованій системі. Час від початкового доступу до розгортання ransomware становив 17 годин в одному з випадків, що відповідає попереднім інцидентам з Chaos. Chaos ransomware-as-a-service активний з лютого 2025 року і пов'язаний з колишніми членами групи BlackSuit ransomware. Деякі тактики, використані в цій кампанії, збігаються з попередніми атаками Chaos, включаючи використання Microsoft Teams та Quick Assist для вішингу. Попередні атаки також використовували DWAgent та AnyDesk для горизонтального переміщення.