هکرهای KongTuke اکنون از Microsoft Teams برای نفوذ به شبکه‌های سازمانی استفاده می‌کنند

یک عامل تهدید موسوم به «KongTuke» که در حوزه فروش دسترسی اولیه به شبکه‌های سازمانی (Initial Access Broker) فعالیت می‌کند، تاکتیک‌های خود را تغییر داده و اکنون از مایکروسافت تیمز (Microsoft Teams) برای حملات مهندسی اجتماعی (social engineering) استفاده می‌کند. بر اساس گزارش محققان ReliaQuest، این گروه با جعل هویت کارکنان پشتیبانی فناوری اطلاعات، کارمندان شرکت‌ها را فریب می‌دهد تا یک دستور مخرب پاورشل (PowerShell) را اجرا کنند؛ این فرآیند در کمتر از پنج دقیقه منجر به نفوذ پایدار به شبکه سازمانی می‌شود. دستور مذکور یک فایل ZIP از Dropbox دانلود می‌کند که در نهایت بدافزار «ModeloRAT» را مستقر می‌سازد. این کمپین از حداقل آوریل ۲۰۲۶ فعال بوده و مهاجم برای فرار از مسدودسازی، از پنج مستأجر مایکروسافت ۳۶۵ (Microsoft 365 tenant) به‌صورت چرخشی استفاده می‌کند.

نسخه به‌روزشده ModeloRAT در این کمپین قابلیت‌های پیشرفته‌تری نسبت به نمونه‌های قبلی دارد؛ از جمله معماری فرمان و کنترل (C2) مقاوم‌تر با استفاده از پنج سرور و قابلیت به‌روزرسانی خودکار، چندین مسیر دسترسی مستقل شامل یک پوسته معکوس (reverse shell) و درپشتی TCP، و مکانیزم‌های پایداری گسترده از طریق کلیدهای Run، میانبرهای Startup و وظایف زمان‌بندی‌شده در سطح SYSTEM که حتی پس از راه‌اندازی مجدد سیستم باقی می‌مانند. این بدافزار اطلاعات سیستم، تصاویر صفحه‌نمایش و فایل‌ها را سرقت می‌کند. برای مقابله با این تهدید، توصیه می‌شود مدیران سیستم دسترسی فدراسیون خارجی مایکروسافت تیمز را با استفاده از فهرست‌های مجاز (allowlist) محدود کنند.