El falso informático de Teams
Los ciberdelincuentes han encontrado la manera de convertir un mensaje corriente de Microsoft Teams en una especie de caballo de Troya de oficina. Desde hace aproximadamente un mes atacan a organizaciones con SynkLoader, una nueva puerta trasera: un programa malicioso que, una vez instalado, permite a los atacantes acceder al ordenador de forma remota.
El ataque empieza con ingeniería social, es decir, engañando a una persona en lugar de sortear una protección técnica compleja. Un empleado recibe un mensaje en Microsoft Teams de alguien que se hace pasar por el equipo interno de soporte informático. Le dicen que hay un problema con su ordenador y le proponen instalar «PowerShell Cleaner», un programa que supuestamente lo solucionará.
En realidad, no es una herramienta de limpieza, sino una plataforma maliciosa con varios módulos. La alojaron en Microsoft Azure, la infraestructura en la nube de Microsoft, para que el enlace y la procedencia del archivo parecieran más convincentes. Como suele ocurrir, la confianza en una marca conocida debe hacer todo el trabajo sucio por el usuario.
Según los investigadores de seguridad de Expel, SynkLoader puede recopilar información del sistema y crear un proxy inverso: una conexión que permite al atacante interactuar con los recursos internos a través del dispositivo infectado. Dos módulos son especialmente peligrosos: PhishLocker e Interactive Shell.
PhishLocker muestra una pantalla de bloqueo de Windows convincente, pero falsa, e intenta obtener la contraseña de acceso al sistema operativo. BleepingComputer señala que, con esa contraseña, los atacantes pueden acceder al entorno corporativo desde el dispositivo infectado y eludir las restricciones que solo permiten conexiones desde determinadas direcciones IP.
El engaño, sin embargo, no es perfecto. Al pulsar Alt + Tab, el usuario puede darse cuenta de que la «pantalla de inicio de sesión» no es la pantalla real del sistema Windows, sino una aplicación de ventana a pantalla completa, sin bordes visibles.
El segundo módulo peligroso, Interactive Shell, permite ejecutar comandos de PowerShell de forma remota y obtener sus resultados. En otras palabras, el atacante consigue prácticamente el control total del ordenador infectado: puede ejecutar acciones, examinar el sistema y utilizarlo como punto de partida para seguir infiltrándose.
Para protegerse, las empresas deben explicar a sus empleados que no deben confiar automáticamente en los mensajes inesperados de Teams, aunque quien los envíe se presente como informático. Cualquier petición para instalar un programa debe comprobarse por un canal independiente; por ejemplo, llamando al servicio de soporte a un número interno conocido, en lugar de responder en el mismo chat sospechoso.
Microsoft Teams, al igual que las llamadas telefónicas, sigue siendo uno de los canales habituales para el primer contacto y la infección inicial. La principal vulnerabilidad a menudo no es la tecnología, sino la persona que instala sin querer un programa malicioso o entrega sus credenciales. El artículo también mencionaba una lista de indicadores de compromiso, es decir, señales técnicas de infección que los especialistas pueden utilizar para buscar SynkLoader en la red corporativa.
PEREC.RU
Los ciberdelincuentes atacan a organizaciones a través de Microsoft Teams, haciéndose pasar por miembros del soporte informático de la empresa. Desde hace aproximadamente un mes utilizan la nueva puerta trasera SynkLoader. Primero informan a la víctima de un supuesto problema con su ordenador y le proponen instalar «PowerShell Cleaner». No es una herramienta de limpieza, sino una plataforma maliciosa alojada en Microsoft Azure para inspirar más confianza.
SynkLoader consta de varios módulos. Puede recopilar información sobre el sistema operativo y el equipo, además de crear un proxy inverso que permite a los atacantes interactuar con los recursos internos a través del ordenador infectado.
Los módulos PhishLocker e Interactive Shell suponen una amenaza especial. PhishLocker muestra una falsa pantalla de bloqueo de Windows e intenta robar la contraseña del usuario. Con esas credenciales, los atacantes pueden acceder al entorno corporativo desde el dispositivo infectado y eludir las restricciones que solo permiten conexiones desde determinadas direcciones IP. A veces se puede detectar el engaño con Alt + Tab: en lugar de la pantalla del sistema aparece una aplicación de ventana a pantalla completa, sin bordes visibles.
Interactive Shell permite ejecutar comandos de PowerShell a distancia y recibir sus resultados. En la práctica, esto da al atacante el control total del ordenador infectado.
Los investigadores de Expel y BleepingComputer destacan el peligro de este tipo de ataques, porque se basan en la ingeniería social. La protección técnica puede ser sólida, pero un empleado puede sortearla si instala un programa a petición de un desconocido o le facilita su contraseña.
Para protegerse, las empresas deben formar al personal para que no confíe en mensajes inesperados de Microsoft Teams ni instale aplicaciones sin comprobar antes la petición. Si un supuesto informático pide instalar un archivo, hay que llamar por iniciativa propia al servicio de soporte, a un número interno conocido de antemano. No sirve de nada confirmar la petición respondiendo en el mismo chat: el atacante puede controlar ese canal.
Teams, junto con las llamadas telefónicas, sigue siendo una de las vías habituales para contactar por primera vez con una víctima e iniciar una intrusión. Las organizaciones también deberían utilizar indicadores de compromiso, es decir, señales técnicas de infección, para buscar SynkLoader en su red corporativa.
