مایکروسافت: سوءاستفاده فزاینده از تیمز در حملات جعل هویت میز کمک

مایکروسافت هشدار داده است که عوامل تهدید به‌طور فزاینده‌ای از قابلیت همکاری خارجی (external collaboration) در Microsoft Teams سوءاستفاده می‌کنند و با جعل هویت کارکنان بخش فناوری اطلاعات یا میز کمک (helpdesk)، از طریق گفتگوهای بین‌سازمانی (cross-tenant chats) با کارمندان تماس می‌گیرند تا آن‌ها را فریب دهند و دسترسی از راه دور را برای سرقت اطلاعات به دست آورند. این شرکت اعلام کرده که در چندین حمله مشابه، مهاجمان از نرم‌افزارهای مدیریت از راه دور تجاری مانند Quick Assist و ابزار Rclone برای انتقال فایل‌ها به سرویس‌های ذخیره‌سازی ابری خارجی استفاده کرده‌اند. مایکروسافت تأکید کرده که شناسایی فعالیت‌های مخرب به دلیل استفاده گسترده از ابزارهای قانونی و پروتکل‌های مدیریتی بومی، بسیار دشوار است.

بر اساس گزارش اخیر مایکروسافت، این حملات از یک زنجیره نه‌مرحله‌ای پیروی می‌کنند که با تماس مهاجم از طریق Teams آغاز می‌شود و پس از دریافت دسترسی از راه دور، مهاجم با استفاده از Command Prompt و PowerShell اطلاعات اولیه را جمع‌آوری کرده، سپس از طریق بارگذاری جانبی DLL (DLL side-loading) در برنامه‌های معتبر مانند Adobe و Autodesk، کدهای مخرب را اجرا می‌کند. در ادامه، مهاجم با بهره‌گیری از Windows Remote Management یا WinRM در شبکه حرکت جانبی (lateral movement) انجام داده و داده‌های حساس را به‌صورت هدفمند استخراج می‌کند. مایکروسافت به کاربران توصیه کرده که مخاطبان خارجی در Teams را به‌طور پیش‌فرض غیرقابل اعتماد تلقی کنند و از مدیران خواسته است که ابزارهای دسترسی از راه دور را محدود یا به‌دقت نظارت کنند.