Исследователи Arctic Wolf описали повторяющуюся схему атак, в которой злоумышленники используют внешние чаты Microsoft Teams для подмены личности и доставки вредоносного ПО. По их данным, речь идёт о сотнях случаев: жертву сначала пугают письмами, а затем выводят в чат с «сотрудником ИТ-поддержки».

Какую проблему решаем

Главная угроза здесь — не уязвимость программы, а доверие пользователя. Злоумышленники заходят через внешний чат, выдают себя за внутреннюю поддержку и быстро переводят разговор к удалённому доступу.

Такой сценарий опасен для компаний, где внешние сообщения в Teams не отключены, а сотрудники привыкли реагировать на «срочные» запросы без проверки. После этого атакующий может запустить вредоносную загрузку, украсть данные или развернуть шифровальщик.

Схема напоминает другие атаки, где на первом месте стоит социальная инженерия. В этом смысле полезно помнить и про типичные признаки поддельных инцидентов, и про то, как осторожно работать с файлами и запросами на доступ из чатов.

Что подготовить

Если вы отвечаете за рабочие аккаунты, заранее проверьте три вещи: кто может писать в ваш корпоративный чат извне, какие уведомления видят сотрудники и как у вас устроена реакция на «срочный запрос от ИТ».

Полезно держать под рукой короткий внутренний регламент: не выполнять команды из чата, не открывать вложения от неизвестных, не давать удалённый доступ по просьбе из переписки. Для команд, которые работают вне офиса или из поездок, отдельное внимание стоит уделить связи и передаче данных; в таких сценариях защищённый канал для командировок помогает уменьшить лишние риски на общественных сетях.

Пошаговые действия

Один. Проверьте внешние чаты

В Microsoft 365 и Teams нужно понять, разрешены ли сообщения от внешних пользователей. Если да — ограничьте эту опцию до минимума, особенно для отделов, где часто работают с подрядчиками и клиентами.

Два. Уберите доверие к «ИТ-поддержке» по умолчанию

Злоумышленники любят имена вроде «IT Support», «HelpDesk» и похожие маски. Сотрудник должен понимать простое правило: любой неожиданный запрос на удалённый доступ проверяется через внутренний канал связи, а не через тот же чат.

Три. Остановите цепочку «почта — чат — доступ»

В описанной схеме часто сначала идёт письмо-спам с сотнями уведомлений, а следом появляется сообщение в Teams. Это создаёт ложное ощущение аварии и подталкивает человека к ошибке. Если сотрудник жалуется на такой поток писем, ему не нужно спешить выполнять инструкции из чата.

Четыре. Запретите запуск команд из переписки

В одном из эпизодов злоумышленник просил запустить PowerShell-команду, чтобы скачать и открыть файл. Это красный флаг: любая просьба скопировать команду в терминал должна считаться подозрительной, даже если собеседник говорит от имени внутренней службы.

Пять. Контролируйте удалённые утилиты

Атакующие нередко используют легитимные инструменты удалённой поддержки — от Quick Assist до TeamViewer и других подобных программ. Поэтому важно не только смотреть на почту и чат, но и следить за запуском таких утилит на рабочих станциях.

Шесть. Следите за признаками закрепления

Если злоумышленник уже получил доступ, он может собирать сведения о системе, перемещаться по сети и ставить дополнительное вредоносное ПО. Здесь полезно регулярно смотреть на аномальные подключения, новые учётные записи, подозрительные MSI-установщики и необычные обращения к Active Directory.

Как проверить себя

Проведите короткую самопроверку. Может ли внешний пользователь написать вашим сотрудникам в Teams? Есть ли у вас сценарий, что делать, если «ИТ-отдел» просит срочно включить удалённый доступ? Кто проверяет письмо, после которого в чат приходит «техподдержка»?

Если на любой из этих вопросов ответ звучит как «не знаем» — это уже слабое место. Для администраторов и ИБ-команд полезно также сверить журналы входа, активность в чатах и события на конечных устройствах: атакующие всё чаще строят атаку не вокруг одной точки, а вокруг цепочки сигналов.

Что делать, если не получилось

Если сотрудник уже открыл чат, запустил файл или передал удалённый доступ, действовать нужно сразу. Отключите устройство от сети, смените пароли затронутых учётных записей, проверьте активные сессии и попросите ИБ-команду посмотреть журналы входа и сетевую активность.

Дальше важно не ограничиться одним компьютером. В подобных атаках злоумышленники часто идут дальше одной машины: ищут другие учётные записи, получают доступ к файловым ресурсам и могут запустить шифровальщик уже в сети компании.

Практический чек-лист

  • Проверить, можно ли писать вашим сотрудникам извне в Teams.
  • Запретить запуск любых команд из чата без отдельной проверки.
  • Настроить правило: просьбы об удалённом доступе подтверждаются по внутреннему каналу.
  • Ограничить использование легитимных удалённых утилит на рабочих станциях.
  • Настроить мониторинг писем-«бомбёжек» и внезапных всплесков входящих сообщений.
  • Проверить журналы входа и аномальные MSI-установки на рабочих устройствах.
  • Подготовить короткую инструкцию для сотрудников на случай подозрительного чата от «ИТ-поддержки».

Для тех, кто часто подключается к рабочим ресурсам вне офиса или из поездок, отдельным слоем защиты может стать [шифрование трафика на личных устройствах]https://freedome.space). Это не заменяет корпоративные настройки, но помогает сократить риски утечки данных в дороге.

Поделиться: