Arctic Wolf alerte sur des usurpations d'assistance IT via Microsoft Teams
Selon Arctic Wolf, les victimes reçoivent d'abord des centaines de courriels indésirables avant d'être contactées sur Teams par un faux service informatique.
Arctic Wolf a averti d'une campagne d'ingénierie sociale en cours dans laquelle des attaquants se font passer pour le service informatique sur Microsoft Teams afin d'obtenir un accès à distance aux machines des victimes, rapporte techradar.com. Le schéma a été observé dans plus de 400 cas.
La séquence commence par un déluge de courriels indésirables : les victimes reçoivent des centaines ou des milliers de messages en peu de temps, de quoi saturer leur boîte de réception. Les attaquants les contactent ensuite sur Teams, par message ou par appel, depuis un compte qui se présente comme celui d'un service desk informatique.
Ils demandent alors à la cible d'accorder un accès à distance via Quick Assist, AnyDesk ou ScreenConnect. Selon Arctic Wolf, l'activité n'exploite aucune vulnérabilité connue de Teams. Le principal facteur facilitant la campagne est l'accès externe (fédération) activé par défaut dans Teams, que le cabinet de cybersécurité désigne comme le véritable moteur du schéma.
Une fois l'accès obtenu, les attaquants installent des outils RMM commerciaux afin de conserver un canal de contrôle distinct et de cartographier le réseau informatique de la cible.
Les recommandations d'Arctic Wolf
Arctic Wolf recommande de faire passer les conversations externes de Teams d'une autorisation générale à une liste d'organisations de confiance, et de former les employés à ce type de sollicitation.
En bref
Comment les attaquants contactent-ils leurs victimes ?
Ils envoient d'abord des centaines ou des milliers de courriels indésirables, puis contactent la victime sur Microsoft Teams depuis un compte se faisant passer pour un service informatique.
Quels outils sont utilisés pour l'accès à distance ?
Les attaquants demandent un accès via Quick Assist, AnyDesk ou ScreenConnect, puis installent des outils RMM commerciaux pour garder un canal de contrôle.
Une faille de Teams est-elle exploitée ?
Non. Selon Arctic Wolf, la campagne n'exploite aucune vulnérabilité connue de Teams ; elle repose sur l'accès externe activé par défaut.