Les escroqueries au support informatique via Microsoft Teams mènent à des attaques du rançongiciel Chaos

Des acteurs malveillants se font passer pour des techniciens du support informatique d’entreprise sur Microsoft Teams afin d’obtenir un accès à distance aux appareils des employés et de déployer le ransomware Chaos.

Sophos suit cette campagne sous le nom STAC4749. L’entreprise de sécurité a observé des dizaines de tentatives d’attaque contre des organisations aux États-Unis et au Canada entre février et juin 2026. Au moins trois incidents se sont soldés par un chiffrement par ransomware.

Les attaquants usurpent l’identité du personnel informatique sur Microsoft Teams

Les attaquants ont contacté les employés par le biais de comptes Microsoft Teams externes. Lors de discussions et d’appels vocaux, ils se sont présentés comme des techniciens du centre d’assistance ou des membres du service informatique de l’entreprise.

Ils affirmaient ensuite avoir besoin d’accéder à l’ordinateur de l’employé pour résoudre un problème technique. Leur objectif était de convaincre la cible d’approuver une session de support à distance sans vérifier la demande par un canal interne.

Une fois qu’un employé acceptait la demande, les attaquants obtenaient un accès direct à l’appareil et commençaient à installer des outils supplémentaires.

RemSupp remplace Microsoft Quick Assist lors des attaques ultérieures

Les premières versions de la campagne s’appuyaient fortement sur Microsoft Quick Assist, une fonctionnalité légitime de support Windows qui permet à une autre personne de visualiser ou de contrôler un ordinateur à distance.

Lorsque Quick Assist était bloqué ou indisponible, les attaquants demandaient aux victimes d’installer d’autres logiciels de gestion à distance. Ils ont de plus en plus eu recours au service cloud RemSupp à partir d’avril.

Sophos pense que RemSupp est peut-être devenu l’option privilégiée parce que moins de listes de blocage d’applications d’entreprise le reconnaissaient. L’utilisation de logiciels légitimes de support à distance a également aidé les attaquants à éviter de déployer des outils manifestement malveillants lors de la première phase de l’attaque.

PowerShell télécharge une porte dérobée persistante

Après avoir obtenu l’accès à distance, les attaquants ont utilisé des commandes PowerShell pour télécharger une porte dérobée dans le dossier %AppData% de la victime.

Le programme malveillant collectait des informations sur le système compromis, créait des mécanismes de persistance et maintenait l’accès après la fin de la session Teams ou de support à distance initiale.

Pour donner à l’activité une apparence légitime, les attaquants ont créé des entrées de registre avec des noms ressemblant à des composants audio Windows. Les noms observés incluaient Realtek HD Audio, Realtek Audio UHD et WinAudio life2.

Ces entrées permettaient au logiciel malveillant de démarrer automatiquement tout en rendant plus difficile pour les employés et les administrateurs l’identification du processus suspect.

Les attaquants installent plusieurs outils d’accès à distance

Lors des incidents qui ont conduit à un ransomware, le groupe a installé des applications d’accès à distance supplémentaires, notamment DWAgent et AnyDesk.

Ces outils offraient un accès de secours si les défenseurs interrompaient la connexion initiale. Les attaquants ont également tenté d’activer le protocole Bureau à distance, ce qui pouvait les aider à accéder à d’autres systèmes et à se déplacer sur le réseau de l’entreprise.

Sophos a observé des changements répétés dans la chaîne d’attaque entre février et mai. Les opérateurs ont ajusté leurs outils, commandes et méthodes de persistance à mesure que les produits de sécurité commençaient à détecter les versions antérieures.

Le ransomware Chaos a chiffré plusieurs systèmes simultanément

Au moins trois attaques STAC4749 ont abouti au déploiement du ransomware Chaos. Au cours de ces incidents, le ransomware a chiffré des fichiers sur plusieurs ordinateurs compromis à peu près au même moment.

Les preuves recueillies lors d’au moins une attaque suggèrent que le groupe pourrait avoir dérobé des données d’entreprise avant de commencer le chiffrement. Cela permettrait aux attaquants de faire pression sur la victime à la fois par l’exposition de données et la perturbation du système.

Sophos estime que la campagne est motivée par l’appât du gain. Les opérateurs peuvent déployer le ransomware eux-mêmes ou fournir l’accès à des affiliés de ransomware distincts après avoir compromis un réseau.

D’autres groupes de menace ont également utilisé Microsoft Teams pour l’ingénierie sociale. Le groupe MuddyWater, soutenu par l’État iranien, a utilisé Teams et une fausse activité de ransomware pour dissimuler des opérations d’espionnage.

Les campagnes liées à Chaos ont également utilisé d’autres techniques. Dans une opération distincte, le ransomware Chaos a utilisé msaRAT pour déguiser le trafic malveillant au sein de Chrome et Edge.

Comment les organisations peuvent bloquer les attaques de vishing via Teams

Les entreprises devraient limiter les communications Microsoft Teams externes ou surveiller de près les messages et appels provenant de comptes extérieurs à l’organisation.

Les employés ne devraient jamais approuver une demande de support à distance inattendue sans la confirmer par une méthode de contact interne officielle. Les services informatiques devraient également expliquer clairement quels outils leurs techniciens utilisent et comment les demandes d’assistance légitimes sont initiées.

Les équipes de sécurité devraient bloquer ou restreindre Quick Assist, RemSupp, AnyDesk, DWAgent et les logiciels similaires sur les systèmes qui ne nécessitent pas d’administration à distance.

Les organisations devraient surveiller toute activité PowerShell inhabituelle, y compris les téléchargements inattendus ou les commandes encodées, ainsi que l’installation d’applications de gestion à distance nouvelles ou non autorisées. Ces comportements peuvent indiquer qu’un attaquant a obtenu un accès initial et tente d’établir un contrôle sur un système.

Elles devraient également surveiller les entrées de registre suspectes qui imitent un logiciel audio légitime, les tentatives d’activation du protocole Bureau à distance, et les comptes Microsoft Teams externes se faisant passer pour le personnel de support interne. Ensemble, ces indicateurs peuvent aider à identifier l’ingénierie sociale et les activités post-compromission à un stade précoce d’une chaîne d’attaque.

Dans d’autres actualités sur la sécurité, Microsoft peine à corriger les vulnérabilités identifiées par Claude Mythos d’Anthropic. À mesure que la recherche en sécurité s’automatise, les attaquants pourraient également trouver et exploiter plus rapidement les faiblesses logicielles.

Via BleepingComputer