В Microsoft предупреждают о продолжающейся мошеннической кампании в Teams, где злоумышленники выдают себя за сотрудников ИТ-отдела

В Microsoft предупреждают о продолжающейся мошеннической кампании в Teams, где злоумышленники выдают себя за сотрудников ИТ-отдела. Фото: из архива компании

В новом отчёте Microsoft описывается, как неназванные злоумышленники связываются с сотрудниками различных компаний через чаты Teams, принуждая их предоставить доступ через демонстрацию экрана или инструменты удалённого мониторинга.

После этого они устанавливают имплантаты, проводят разведку хоста, обнаруживают средства безопасности и ведут периодическую запись экрана для составления карты сети, а затем используют встроенные инструменты и запросы ADSI для перечисления учётных записей и перемещения по инфраструктуре.

Завершающий этап включает выявление и кражу ценных данных, после чего следует заражение вымогателем, причём подобная техника используется несколькими группами, включая российские Cozy Bear, FIN7 и Storm-1811, а также ShinyHunters, которые, однако, редко применяют шифровальщики, сосредотачиваясь на краже данных.

В Microsoft рекомендуют предприятиям усилить обучение сотрудников, разработать внутренние фразы аутентификации для службы поддержки, проверять незапрошенные обращения и повысить безопасность Teams и электронной почты с помощью Defender для Office 365, включая Safe Links и автоматическую очистку в нулевой момент.