Спамный шторм и «айтишник» в Teams: как отдают хакерам доступ к компьютеру

Исследователи кибербезопасности Arctic Wolf предупреждают о масштабной кампании, в которой злоумышленники сначала заваливают сотрудника компании спамом, а затем пишут ему в Microsoft Teams от имени IT-поддержки. Для захвата доступа они используют обычные легальные программы. По оценке исследователей, цель — закрепиться в корпоративной сети, возможно, чтобы позднее установить вредоносную программу или запустить атаку с вымогательством.

Arctic Wolf обнаружила одинаковую схему более чем в 400 случаях. Сначала сотрудник получает за короткое время сотни, а иногда и тысячи спам-писем. Поток мусора забивает почтовый ящик и прячет среди него важные сообщения — шум создаётся не только ради раздражения, но и чтобы человек хуже ориентировался в происходящем.

Вскоре после этого в Teams приходит сообщение от пользователя, который представляется службой IT-поддержки. Имя выглядит правдоподобно: например, «IT Service Desk», иногда к нему добавлено распространённое имя — вроде Liam, Ethan или Scott. Собеседник говорит, что знает о проблемах с почтой, и предлагает помочь.

Для «починки» он просит дать удалённый доступ к компьютеру. Обычно мошенники предлагают воспользоваться легальной программой удалённого управления и мониторинга — например, AnyDesk или ScreenConnect. Иногда вместо переписки они звонят через Teams, чтобы легенда звучала убедительнее. Однако спам и обращения в Teams, как установили исследователи, исходят от одних и тех же злоумышленников.

Важную роль в схеме играет внешняя связь в Teams — федерация. Она включена по умолчанию: если корпоративные IT-специалисты не изменили настройки, сотрудники могут получать сообщения от пользователей Microsoft 365 из других организаций, то есть из отдельных сред (тенантов) в облачных сервисах Microsoft. Это штатная функция, а не уязвимость программы. Arctic Wolf подчёркивает: злоумышленники используют разрешённую возможность общения, а не эксплуатируют известную брешь в Teams.

Первым шагом для передачи управления часто становится Quick Assist — «Быстрая помощь», встроенная в Windows и подписанная Microsoft. Устанавливать отдельное приложение не нужно: сотрудника просят открыть инструмент и сообщить шестизначный код. Передав код, он фактически разрешает другому человеку управлять своим устройством.

Затем злоумышленники могут установить отдельную программу удалённого управления, например AnyDesk или ScreenConnect. Так они создают запасной канал доступа на случай, если подключение через Quick Assist отключат. После этого изучают корпоративную IT-сеть и собирают сведения о ней — вероятно, готовясь к последующей атаке с вредоносным ПО или программой-вымогателем. Что именно происходит дальше, исследователи не утверждают.

Arctic Wolf советует организациям ограничить внешние чаты Teams: вместо разрешения переписки со всеми следует создать список доверенных организаций. Компания отмечает, что большинству организаций нет необходимости открывать чат для пользователей из любых тенантов. Второй важный шаг — обучение сотрудников: сообщение или звонок в Teams, как и письмо по электронной почте, сами по себе не доказывают, что собеседник действительно представляет IT-службу. Передача кода или удалённого доступа должна происходить только после проверки личности и запроса через официальные каналы поддержки.

PEREC.RU

У цифровой безопасности есть неприятная особенность: она редко ломается эффектно. Чаще всё начинается с вежливого «мы заметили проблему и сейчас поможем» — то есть с фразы, на которую люди и без того привыкли отвечать доверием. Хакеру не обязательно изображать гения, если за него уже работают спешка, шум и желание поскорее вернуть почту в нормальное состояние.

Показательно, что в этой истории злоумышленники не пробивают стену, а пользуются дверью, которую оставили открытой ради удобства. Корпоративные настройки обычно выбирают по принципу «пусть работает»: ограничивать внешние чаты хлопотно, объяснять правила сотрудникам ещё хлопотнее. А потом компания обнаруживает, что функция для делового общения одинаково гостеприимна и к человеку с чужой корпоративной учёткой.

У таких решений всегда есть красивое оправдание: гибкость, скорость, сотрудничество. В реальности это часто означает, что ответственность распылена между настройками, инструкциями и сотрудником, которому в неподходящий момент предлагают нажать кнопку. Если всё прошло удачно — система удобная; если нет — пользователь «не проявил бдительность». Управленческая классика: выгоду от простоты получают все, кроме того, кто разбирает последствия.

Особенно мило выглядит ставка на легальные инструменты. Они не выглядят как вторжение, не требуют драматичного окна с черепом и не вызывают у человека немедленного желания выключить компьютер и уйти в лес. Всё буднично, подписано известной компанией и потому кажется безопасным. Надёжность бренда здесь работает как костюм, который мошенник позаимствовал у настоящего специалиста.

Совет ограничить внешние чаты и обучать сотрудников звучит не революционно — скорее как напоминание, которое годами откладывали под папку «потом». Список доверенных организаций требует настройки, а проверка личности — времени. Но альтернатива проще только на бумаге: оставить всё как есть и надеяться, что именно сегодня никто не воспользуется предусмотренной по умолчанию возможностью.

В конечном счёте компании предстоит решить, что ей дороже: несколько минут на проверку и аккуратные настройки или иллюзия, что знакомое название в Teams уже служит удостоверением личности. Преступники, судя по всему, свой выбор давно сделали. Им достаточно, чтобы организация предпочла удобство сомнению, а сотрудник — срочную помощь проверке источника.