У фішингових схемах зловмисники використовують Microsoft Teams

Нещодавній сплеск фішингових атак показав, що зловмисники використовують запити в груповому чаті Microsoft Teams для розповсюдження шкідливих вкладень, які в результаті встановлюють шкідливе програмне забезпечення DarkGate на системи жертв, про що інформує bleepingcomputer.com.

Дослідники з AT&T Cybersecurity повідомили, що зловмисники, які могли діяти через скомпрометованого користувача або домен Teams, надіслали понад 1000 шкідливих запрошень до групового чату Teams. Після того як одержувачі приймають запит на участь у чаті, їм пропонується завантажити файл із подвійним розширенням, зазвичай під назвою «Navigating Future Changes October 2023.pdf.msi», що є відомою тактикою DarkGate.

Після встановлення шкідливе програмне забезпечення DarkGate підключається до свого командно-контрольного сервера за адресою hgfdytrywq[.]com — домену, який компанія Palo Alto Networks уже ідентифікувала як частину інфраструктури DarkGate.

Ця фішингова стратегія використовує вразливість у Microsoft Teams, яка за замовчуванням дає змогу зовнішнім користувачам надсилати повідомлення користувачам інших орендарів. AT&T Cybersecurity рекомендує вимкнути зовнішній доступ у Microsoft Teams, якщо він не є необхідним для щоденних бізнес-операцій. Пітер Бойл, інженер із мережевої безпеки AT&T Cybersecurity, також наголошує на важливості навчання користувачів розпізнавати небажані повідомлення та бути пильними щодо спроб фішингу за межами електронної пошти.

Платформа Microsoft Teams, що має 280 мільйонів користувачів щомісяця, стала головною мішенню для зловмисників. Оператори DarkGate користуються нею, розгортаючи своє шкідливе програмне забезпечення через Teams, зосереджуючись на організаціях, де адміністратори не відключили зовнішній доступ, що робить їхніх користувачів вразливими.

Подібні кампанії спостерігалися минулого року, коли шкідливе програмне забезпечення DarkGate поширювалося через скомпрометовані зовнішні облікові записи Office 365 і Skype. Ці атаки надсилали повідомлення, що містили вкладення скриптів завантажувача VBA.

Зловмисники, зокрема APT29, хакерський підрозділ Служби зовнішньої розвідки Росії, використовували Microsoft Teams для фішингових атак. В одному випадку загальнодоступний інструмент під назвою TeamsPhisher скористався вразливістю в системі безпеки Microsoft Teams, що дало змогу надсилати шкідливе корисне навантаження попри захист клієнта.

Оскільки кіберзлочинці дедалі частіше вибирають DarkGate як інструмент початкового доступу після виведення з ладу ботнету Qakbot у серпні, розробник цього шкідливого програмного забезпечення намагався продати річну підписку на нього на хакерському форумі за 100 000 доларів США. DarkGate може похвалитися різноманітними можливостями, серед яких прихований протокол Virtual Network Computing (VNC), інструменти для обходження Windows Defender, інструмент для викрадення історії браузера, інтегрований реверсний проксі-сервер, файловий менеджер і викрадач токенів Discord.

Після оголошення розробника кількість повідомлень про зараження DarkGate різко зросла, причому кіберзлочинці використовують різноманітні методи доставлення, як-от фішинг і шкідливу рекламу. Організації закликають посилити заходи безпеки й залишатися пильними до нових загроз, зокрема DarkGate.

Оцініть, наскільки ваша компанія захищена від фішингу, замовивши перевірку зрілості системи кібербезпеки від DigVel.