Los ataques de suplantación de identidad del soporte técnico están dirigidos a Microsoft Teams: se están explotando herramientas legítimas.
La suplantación de identidad del soporte técnico vuelve a afectar a Microsoft Teams. Descubra cómo los hackers están aprovechando herramientas legítimas para ocultar sus ataques y obtenga consejos para proteger a su organización hoy mismo.
Las cosas más importantes que necesitas saber
- Los ataques de suplantación de identidad en el soporte técnico implican múltiples etapas, comenzando con malware y progresando hasta la extracción de datos o el ransomware, explotando herramientas nativas como ADSI para el movimiento lateral.
- Diversos grupos de ciberdelincuentes, como Cozy Bear, FIN7 y ShinyHunters, utilizan técnicas de suplantación de identidad de soporte técnico basadas en Teams, y algunos se centran en el robo de datos en lugar del ransomware.
- Microsoft recomienda concienciar a los usuarios y comprobar si hay comunicaciones de soporte no deseadas, además de utilizar Microsoft Defender para Office 365 y las funciones Safe Links y ZAP para neutralizar las amenazas.
Microsoft advierte sobre una campaña de piratería informática en curso que comienza con un mensaje en Teams y termina con una infección de ransomware y el robo de datos.
Un nuevo y detallado informe publicado en el blog de Microsoft afirma que agentes maliciosos desconocidos estaban contactando con sus objetivos en diversas empresas a través del chat de Teams, haciéndose pasar por personal de soporte técnico.
Obligaban a sus víctimas a conceder acceso remoto mediante la función de compartir pantalla o herramientas de monitorización y gestión remota, y una vez obtenido dicho acceso, lo utilizaban para instalar programas de descarga de malware y otro software malicioso.
Cómo defenderse de los ataques de phishing a través de Teams
El malware fue solo la primera fase del ataque. Las fases posteriores incluyeron el reconocimiento del sistema, el descubrimiento de productos de seguridad y virtualización, y la "captura periódica de la pantalla del escritorio"; en otras palabras, el mapeo del entorno y la realización de labores de vigilancia.
Los estafadores enumeran entonces las cuentas de dominio, los servidores y los usuarios, utilizando herramientas nativas y consultas de la Interfaz de Servicios de Directorio Activo (ADSI), y comienzan a moverse lateralmente.
El último paso consiste en identificar y extraer datos valiosos, seguido de la infección por ransomware.
Microsoft no revela la identidad de los responsables, refiriéndose a ellos a menudo como "actores de amenazas". Esto tiene sentido, ya que la técnica de "soporte técnico falso a través de Teams" está siendo utilizada actualmente por varios grupos. Los grupos rusos Cozy Bear, FIN7 y Storm-1811 son quizás los ejemplos más evidentes.
El mayor grupo de extorsión del mundo, ShinyHunters, también es conocido por usar Teams para engañar a las víctimas y conseguir que les den acceso, pero este grupo rara vez utiliza software de cifrado, centrándose en cambio exclusivamente en el robo de datos.
Independientemente de quiénes sean los atacantes y cualesquiera que sean sus objetivos, una cosa es segura: el riesgo en el entorno empresarial nunca ha sido mayor.
Por este motivo, Microsoft recomienda mejorar la concienciación de los usuarios mediante la creación de frases de autenticación internas para el servicio de asistencia técnica y la formación de los empleados para que reconozcan los indicadores de terceros.
Microsoft también insta a las empresas a investigar cualquier contacto de soporte no solicitado y a reforzar la seguridad de Microsoft Teams y el correo electrónico contra la ingeniería social. Microsoft recomienda: «Utilice Microsoft Defender para Office 365 con Enlaces seguros y la eliminación automática en tiempo real (ZAP) para garantizar que los mensajes y las URL maliciosas se neutralicen al hacer clic y se eliminen después de su entrega».
Los comentarios están cerrados.