Фальшивый айтишник в Teams
Следите за новостями по этой теме!
Подписаться на «Гик Гайд (3 апельсина) / Цифра сегодня»
Киберпреступники нашли способ превратить обычное сообщение в Microsoft Teams в почти офисный вариант троянского коня. Около месяца они атакуют организации с помощью нового бэкдора SynkLoader — вредоносной программы, которая после установки дает злоумышленникам удаленный доступ к компьютеру.
Атака начинается с социальной инженерии, то есть с обмана человека, а не с обхода сложной технической защиты. Сотруднику пишут в Microsoft Teams от имени якобы штатной ИТ-поддержки. Ему сообщают, что с компьютером возникла проблема, и предлагают установить «PowerShell Cleaner» — программу, которая якобы должна исправить неполадку.
На деле это не средство очистки, а вредоносная платформа с набором модулей. Ее разместили в Microsoft Azure, облачной инфраструктуре Microsoft, чтобы ссылка и происхождение файла выглядели убедительнее. Доверие к знакомому бренду, как обычно, должно сделать за пользователя всю грязную работу.
По данным исследователей безопасности Expel, SynkLoader умеет собирать сведения о системе и создавать обратный прокси — соединение, позволяющее атакующему взаимодействовать с внутренними ресурсами через зараженное устройство. Особенно опасны два модуля: PhishLocker и Interactive Shell.
PhishLocker показывает убедительный, но поддельный экран блокировки Windows и пытается получить пароль для входа в операционную систему. BleepingComputer отмечает, что с таким паролем злоумышленники могут получить доступ к корпоративной среде с зараженного устройства и обойти ограничения, разрешающие подключение только с определенных IP-адресов.
Обман, однако, не идеален. Пользователь, нажав Alt + Tab, может увидеть, что «экран входа» — всего лишь полноэкранное оконное приложение без видимой рамки, а не настоящий системный экран Windows.
Второй опасный модуль, Interactive Shell, позволяет удаленно выполнять команды PowerShell и получать их результаты. Иными словами, атакующий фактически получает полный контроль над зараженным компьютером: может запускать действия, изучать систему и использовать ее как плацдарм для дальнейшего проникновения.
Для защиты компаниям следует объяснить сотрудникам: неожиданным сообщениям в Teams нельзя доверять автоматически, даже если отправитель представляется ИТ-специалистом. Любую просьбу установить программу нужно перепроверять через независимый канал — например, позвонить в службу поддержки по известному внутреннему номеру, а не отвечать в том же подозрительном чате.
Microsoft Teams, как и телефонные звонки, остается одним из распространенных каналов для первого контакта и первоначального заражения. Главной уязвимостью при этом нередко оказывается не техника, а человек, который невольно устанавливает вредоносное ПО или передает учетные данные. В статье также упоминался список индикаторов компрометации — технических признаков заражения, по которым специалисты могут искать SynkLoader в корпоративной сети.
PEREC.RU
У корпоративной переписки есть удивительная способность превращать вежливость в уязвимость. Стоит написать человеку «мы из ИТ, у вас проблема», и часть защитного периметра уже сама тянется нажать кнопку — ведь так устроен офис: доверять коллегам быстрее, чем проверять, кто они.
Фальшивый техподдержник не ломает дверь, он просит открыть её изнутри. Это экономно, почти изящно и отлично вписывается в культуру, где сотрудника годами учат не задерживать рабочий процесс лишними вопросами.
Знакомый интерфейс и узнаваемая облачная марка добавляют подделке официальный вид. Бренд здесь не щит, а костюм: его надевают те, кому нужно, чтобы подозрительная просьба выглядела как ещё один пункт в бесконечном списке корпоративных задач.
Потом компанию охватывает привычный разбор: обнаружить, изолировать, объяснить персоналу, что в следующий раз надо быть внимательнее. Последняя часть обычно самая дешёвая для руководства — можно выдать памятку и назначить человека виноватым, не пересматривая процессы, которые делают нажатие быстрым, а проверку неудобной.
Поддельный экран входа особенно выразителен как метафора: достаточно правдоподобная картинка — и человек сам отдаёт ключи от рабочего дня. Но чудеса доверия не безграничны: стоит пользователю присмотреться, и театральная декорация начинает выдавать себя за декорацию.
Полученный доступ ценен не только тем, что открывает один компьютер. Он превращает обычную рабочую станцию в удобный пропуск дальше по внутренней территории, а потом организация обнаруживает, что её периметр держался на привычке и надежде.
Совет перепроверять просьбы по независимому каналу разумен. Он заодно напоминает о неловком устройстве офисной жизни: сотрудник должен отличать настоящую помощь от подделки, хотя именно поддержка призвана избавлять его от необходимости самостоятельно разбираться в каждом сбое.
Так что здесь столкнулись не просто мошенник и антивирус. На одной стороне — преступники, которые знают цену человеческой спешке; на другой — компании, которые называют обучение защитой и часто вспоминают о безопасности лишь после того, как обычный чат становится входной дверью.
