UNC6692 با جعل هویت میز کمک فناوری اطلاعات از طریق Microsoft Teams بدافزار SNOW را مستقر می‌کند

یک گروه تهدید ناشناخته با نام UNC6692 با استفاده از تاکتیک‌های مهندسی اجتماعی (social engineering) از طریق مایکروسافت تیمز، مجموعه‌ای از بدافزارهای سفارشی را روی سیستم‌های قربانیان مستقر کرده است. به گزارش شرکت Mandiant (متعلق به گوگل)، این گروه ابتدا صندوق ورودی ایمیل قربانیان را با سیل هرزنامه (email bombing) مسدود می‌کند و سپس با جعل هویت کارکنان پشتیبانی فناوری اطلاعات در مایکروسافت تیمز، آن‌ها را فریب می‌دهد تا روی یک لینک فیشینگ کلیک کنند. این لینک منجر به دانلود یک اسکریپت AutoHotkey از یک سطل S3 آمازون (AWS S3 bucket) تحت کنترل مهاجم می‌شود که در نهایت افزونه مخرب مرورگر کرومیوم با نام SNOWBELT را نصب می‌کند. این اکوسیستم بدافزاری شامل سه مؤلفه اصلی است: SNOWBELT (درپشتی مبتنی بر جاوااسکریپت)، SNOWGLAZE (تونل‌ساز مبتنی بر پایتون برای ارتباط با سرور فرمان و کنترل) و SNOWBASIN (درپشتی پایدار برای اجرای دستورات از راه دور).

پس از دسترسی اولیه، UNC6692 اقدامات گسترده‌ای از جمله اسکن شبکه داخلی، استخراج حافظه فرآیند LSASS برای افزایش سطح دسترسی، استفاده از تکنیک Pass-The-Hash برای حرکت جانبی (lateral movement) به سمت کنترل‌کننده‌های دامنه (domain controllers)، و استخراج داده‌های حساس از جمله پایگاه داده اکتیو دایرکتوری (Active Directory) انجام می‌دهد. شرکت ReliaQuest نیز گزارش داده که در فاصله زمانی اول مارس تا اول آوریل ۲۰۲۶، حدود ۷۷ درصد از حملات مشاهده‌شده کارمندان ارشد سازمان‌ها را هدف قرار داده‌اند. مایکروسافت نیز نسبت به سوءاستفاده از پلتفرم تیمز برای جعل هویت پرسنل پشتیبانی فناوری اطلاعات هشدار داده و از سازمان‌ها خواسته است کنترل‌های دسترسی خارجی در این ابزار همکاری را تشدید کنند.