Falso departamento de informática en Teams: los hackers llevan el ataque hasta el robo de datos y el cifrado
Microsoft ha advertido de una campaña de ciberataques que sigue activa y que empieza con un mensaje corriente en Microsoft Teams y termina con el robo de datos y la infección de la red corporativa con ransomware. Los atacantes se hacen pasar por empleados del departamento de informática y escriben a trabajadores de distintas empresas en el chat corporativo.
La principal artimaña se basa en la confianza en el soporte interno. Los delincuentes convencen a la víctima para que les conceda acceso remoto, por ejemplo, activando la pantalla compartida o instalando o ejecutando herramientas legítimas de supervisión y gestión remotas. Una vez obtenido el acceso, lo utilizan para instalar descargadores de malware y otros componentes del ataque.
El malware es solo la primera fase. Después, los delincuentes examinan el ordenador y la red: realizan un reconocimiento de los nodos, comprueban qué herramientas de protección hay instaladas y si existen máquinas virtuales, y hacen capturas de pantalla de vez en cuando. En otras palabras, elaboran un mapa de la infraestructura y observan lo que ocurre procurando no llamar la atención.
A continuación, los atacantes enumeran las cuentas de dominio, los servidores y los usuarios. Para ello utilizan herramientas incluidas en Windows y consultas a través de Active Directory Service Interfaces (ADSI), unas interfaces que permiten acceder a los datos del servicio de directorio Active Directory. Tras recopilar la información, empiezan a desplazarse por la red de un dispositivo a otro.
En la siguiente fase buscan archivos valiosos y otra información importante, la extraen y luego ejecutan un ransomware. Este método les permite robar datos y, al mismo tiempo, exigir dinero a cambio de restablecer el acceso a los sistemas.
Microsoft no identifica a los responsables concretos y utiliza términos genéricos como «amenazas» o «actores de amenazas». La razón es sencilla: varios grupos recurren actualmente a la suplantación del soporte informático en Teams. Entre los ejemplos más destacados, Microsoft menciona a Cozy Bear, FIN7 y Storm-1811. También se sabe que ShinyHunters engaña a sus víctimas a través de Teams para obtener acceso remoto. Sin embargo, por lo general no ejecuta ransomware y se centra en robar datos.
Independientemente de quién esté detrás de un ataque concreto y de la organización elegida como objetivo, el riesgo para el entorno corporativo sigue siendo elevado. Microsoft recomienda reforzar la formación de los empleados e introducir frases clave internas para confirmar la identidad del personal de soporte. También conviene enseñar a los trabajadores a reconocer las señales de contacto desde un tenant externo, es decir, un entorno corporativo independiente de Microsoft 365.
La empresa aconseja verificar los contactos inesperados de quienes dicen ser del soporte informático y reforzar la protección de Microsoft Teams y del correo electrónico frente a la ingeniería social. Microsoft también recomienda utilizar Microsoft Defender for Office 365 junto con Safe Links y Zero-hour auto purge (ZAP): estas funciones bloquean los mensajes y enlaces maliciosos cuando se accede a ellos y eliminan el contenido peligroso incluso después de su entrega.
PEREC.RU
Microsoft advierte de una campaña de ciberataques que sigue activa y utiliza Microsoft Teams como puerta de entrada a las redes corporativas. Los delincuentes contactan con empleados de distintas empresas a través del chat y se hacen pasar por personal de informática. Convencen a las víctimas para que les concedan acceso remoto mediante la pantalla compartida o herramientas legítimas de supervisión y gestión remotas.
Una vez obtenido el acceso, los atacantes instalan descargadores de malware y otros componentes. Después comienza el reconocimiento: examinan el dispositivo y la infraestructura de red, comprueban qué herramientas de protección hay instaladas y si existen máquinas virtuales, y hacen capturas de pantalla de vez en cuando. Así recopilan información sobre el entorno de trabajo y observan la actividad del usuario.
A continuación, los hackers enumeran las cuentas de dominio, los servidores y los usuarios mediante herramientas incluidas en Windows y consultas a través de Active Directory Service Interfaces (ADSI). Estas interfaces permiten acceder a los datos del servicio de directorio Active Directory. Tras recopilar la información, los delincuentes se desplazan por la red de un nodo a otro.
Al final, localizan y extraen datos valiosos y, después, ejecutan ransomware. Como resultado, la organización se enfrenta a la vez a una filtración de información y al cifrado de sus sistemas.
Microsoft no identifica a los responsables concretos porque varios grupos utilizan la táctica del falso soporte informático en Teams. Entre los ejemplos más destacados menciona a Cozy Bear, FIN7 y Storm-1811. ShinyHunters también utiliza Teams para convencer a las víctimas de que concedan acceso, pero normalmente no despliega ransomware y se limita a robar datos.
Para protegerse, Microsoft recomienda formar a los empleados e introducir frases clave internas que permitan comprobar la identidad del personal de soporte. El personal debe saber reconocer las señales de contacto desde un tenant externo, es decir, un entorno corporativo independiente de Microsoft 365. Cualquier contacto inesperado de alguien que diga pertenecer al equipo de informática debe verificarse por un canal independiente.
Además, la empresa aconseja reforzar la configuración de Microsoft Teams y del correo electrónico frente a la ingeniería social. Microsoft recomienda utilizar Microsoft Defender for Office 365 con las funciones Safe Links y Zero-hour auto purge (ZAP). Safe Links ayuda a neutralizar enlaces peligrosos cuando se accede a ellos, mientras que ZAP elimina los mensajes maliciosos después de su entrega.
