Οι ερευνητές ασφαλείας προειδοποιούν ότι εγκληματίες του κυβερνοχώρου παραβιάζουν Microsoft Teams accounts για να αποκτήσουν πρόσβαση σε συνομιλίες και να παραδώσουν κακόβουλα εκτελέσιμα (malware) σε όσους συμμετέχουν στην τηλεδιάσκεψη.
Πρόκειται για μια σοβαρή απειλή αν λάβουμε υπόψη ότι περισσότερoι από 270 εκατομμύρια χρήστες βασίζονται στο Microsoft Teams κάθε μήνα για τα επαγγελματικά τους meetings. Πολλοί από αυτούς, μάλιστα, εμπιστεύονται πάρα πολύ την πλατφόρμα παρά την απουσία προστασίας από κακόβουλα αρχεία.
Τι διαπίστωσαν ερευνητές από την Avanan;
Ερευνητές από την Avanan, μια εταιρεία που ανήκει στην Check Point και προστατεύει τις cloud email και collaboration πλατφόρμες, διαπίστωσαν ότι εγκληματίες του κυβερνοχώρου άρχισαν να παραδίδουν κακόβουλα εκτελέσιμα αρχεία σε συνομιλίες στο Microsoft Teams.
Σύμφωνα με την εταιρεία, οι επιθέσεις ξεκίνησαν τον Ιανουάριο και οι επιτιθέμενοι εισάγουν σε μια συνομιλία ένα εκτελέσιμο αρχείο που ονομάζεται “User Centric”.
Αν ο χρήστης ξεγελαστεί και επιτρέψει την εκτέλεσή του, το κακόβουλο λογισμικό θα επηρεάσει δεδομένα στο system registry, θα εγκαταστήσει αρχεία DLL και θα εδραιώσει το persistence στο Windows PC.
“Σε αυτήν την επίθεση στο Microsoft Teams, οι hackers έχουν επισυνάψει ένα κακόβουλο έγγραφο Trojan σε ένα chat thread. Όταν κάποιος κάνει κλικ, το αρχείο θα πάρει τον έλεγχο του υπολογιστή του χρήστη” – Avanan
- Η μέθοδος που χρησιμοποιείται για την απόκτηση πρόσβασης σε λογαριασμούς Microsoft Teams παραμένει ασαφής. Ωστόσο, είναι πιθανό να βασίζεται σε κλοπή credentials για το email ή το Microsoft 365 μέσω phishing ή μέσω παραβίασης ενός οργανισμού-συνεργάτη.
Η αυτόματη ανάλυση του κακόβουλου λογισμικού που διανέμεται με αυτόν τον τρόπο δείχνει ότι το trojan μπορεί να δημιουργήσει persistence μέσω Windows Registry Run keys ή δημιουργώντας ένα entry στον startup folder.
Το malware συλλέγει, επίσης, λεπτομερείς πληροφορίες σχετικά με το λειτουργικό σύστημα και το hardware στο οποίο εκτελείται, καθώς και δεδομένα για την κατάσταση ασφαλείας του μηχανήματος βάσει της έκδοσης του λειτουργικού συστήματος και των εγκατεστημένων ενημερώσεων κώδικα.
Υπερβολική εμπιστοσύνη στην πλατφόρμα
Οι ερευνητές τονίζουν ότι η επίθεση είναι αρκετά απλή, αλλά μπορεί να είναι πολύ αποτελεσματική επειδή πολλοί χρήστες εμπιστεύονται τα αρχεία που λαμβάνουν μέσω του Microsoft Teams.
Η εταιρεία ανέλυσε δεδομένα από νοσοκομεία που χρησιμοποιούν το Teams και διαπίστωσε ότι οι γιατροί χρησιμοποιούν την πλατφόρμα για να μοιράζονται ιατρικές πληροφορίες.
Ενώ οι χρήστες είναι συνήθως καχύποπτοι για πληροφορίες/ αρχεία που λαμβάνουν μέσω ηλεκτρονικού ταχυδρομείου, λόγω των περισσότερων γνώσεων για το phishing, δεν δείχνουν καμία προσοχή με τα αρχεία που λαμβάνονται μέσω του Teams.
Επιπλέον, το Teams παρέχει δυνατότητες guest και εξωτερικής πρόσβασης που επιτρέπουν τη συνεργασία με άτομα εκτός της εταιρείας. Η Avanan λέει ότι αυτές οι προσκλήσεις λαμβάνουν ελάχιστη επίβλεψη.
“Λόγω της μη εξοικείωσης με την πλατφόρμα Teams, πολλοί απλώς θα εμπιστευτούν και θα εγκρίνουν τα αιτήματα. Μέσα σε έναν οργανισμό, ένας χρήστης μπορεί πολύ εύκολα να προσποιηθεί ότι είναι κάποιος άλλος, είτε είναι ο Διευθύνων Σύμβουλος, ο οικονομικός διευθυντής ή το γραφείο βοήθειας IT” – Avanan
Οι ερευνητές λένε ότι το ζήτημα επιδεινώνεται από το “το γεγονός ότι λείπουν οι προεπιλεγμένες προστασίες του Teams, καθώς η σάρωση για κακόβουλους συνδέσμους και αρχεία είναι περιορισμένη” και “πολλές λύσεις ασφάλειας email δεν προσφέρουν ισχυρή προστασία για το Teams“.
Για την άμυνα έναντι τέτοιων επιθέσεων, η Avanan συνιστά:
• Εφαρμογή προστασίας που κατεβάζει όλα τα αρχεία σε ένα sandbox και τα επιθεωρεί για κακόβουλο περιεχόμενο
• Ισχυρή ασφάλεια που προστατεύει όλες τις γραμμές επιχειρηματικής επικοινωνίας, συμπεριλαμβανομένου του Teams
• Ενημέρωση IT ομάδας όταν οι χρήστες βλέπουν ένα άγνωστο/περίεργο αρχείο
