Arnaques au support informatique via Microsoft Teams mènent à des attaques du ransomware Chaos

Des acteurs de menace se font passer pour des techniciens du support informatique d’entreprise sur Microsoft Teams afin d’obtenir un accès à distance aux appareils des employés et de déployer le ransomware Chaos.

Sophos suit la campagne sous le nom STAC4749. L’entreprise de sécurité a observé des dizaines de tentatives d’attaques contre des organisations aux États-Unis et au Canada entre février et juin 2026. Au moins trois incidents se sont soldés par le chiffrement de fichiers par le ransomware.

Des attaquants se font passer pour le personnel informatique sur Microsoft Teams

Les attaquants contactaient les employés via des comptes Microsoft Teams externes. Lors de conversations et d’appels vocaux, ils se présentaient comme des techniciens du support ou des membres du service informatique de l’entreprise.

Ils affirmaient ensuite avoir besoin d’accéder à l’ordinateur de l’employé pour résoudre un problème technique. Leur objectif était d’amener la cible à approuver une session de support à distance sans vérifier la demande via un canal interne.

Dès qu’un employé acceptait la demande, les attaquants obtenaient un accès direct à l’appareil et commençaient à installer des outils supplémentaires.

RemSupp remplace l’Assistance rapide Microsoft dans les attaques ultérieures

Les premières versions de la campagne s’appuyaient fortement sur l’Assistance rapide de Microsoft, une fonctionnalité légitime de Windows qui permet à une autre personne de visualiser ou de contrôler un ordinateur à distance.

Lorsque l’Assistance rapide était bloquée ou indisponible, les attaquants demandaient aux victimes d’installer d’autres logiciels de gestion à distance. Ils se sont de plus en plus appuyés sur le service cloud RemSupp à partir du mois d’avril.

Sophos pense que RemSupp est peut-être devenu l’option privilégiée parce que moins de listes de blocage d’applications d’entreprise le reconnaissaient. L’utilisation d’un logiciel de support à distance légitime aidait également les attaquants à éviter de déployer des outils manifestement malveillants lors de la première étape de l’attaque.

PowerShell télécharge une porte dérobée persistante

Après avoir obtenu un accès à distance, les attaquants ont utilisé des commandes PowerShell pour télécharger une porte dérobée dans le dossier %AppData% de la victime.

Le logiciel malveillant collectait des informations sur le système compromis, créait des mécanismes de persistance et conservait l’accès après la fin de la session Teams ou de la session de support à distance initiale.

Pour donner à l’activité une apparence légitime, les attaquants créaient des entrées de registre dont les noms ressemblaient à des composants audio de Windows. Les noms observés comprenaient Realtek HD Audio, Realtek Audio UHD et WinAudio life2.

Ces entrées permettaient au malware de démarrer automatiquement tout en rendant plus difficile pour les employés et les administrateurs l’identification du processus suspect.

Les attaquants installent plusieurs outils d’accès à distance

Lors des incidents qui ont évolué vers un ransomware, le groupe a installé des applications d’accès à distance supplémentaires, notamment DWAgent et AnyDesk.

Ces outils fournissaient un accès de secours si les défenseurs interrompaient la connexion d’origine. Les attaquants ont également tenté d’activer le Protocole Bureau à distance, ce qui pourrait les aider à accéder à d’autres systèmes et à se déplacer sur le réseau de l’entreprise.

Sophos a observé des changements répétés dans la chaîne d’attaque entre février et mai. Les opérateurs ajustaient leurs outils, commandes et méthodes de persistance à mesure que les produits de sécurité commençaient à détecter les versions antérieures.

Le ransomware Chaos a chiffré plusieurs systèmes à la fois

Au moins trois attaques STAC4749 ont abouti au déploiement du ransomware Chaos. Lors de ces incidents, le ransomware a chiffré des fichiers sur plusieurs ordinateurs compromis à peu près au même moment.

Des preuves provenant d’au moins une attaque suggèrent que le groupe pourrait avoir volé des données d’entreprise avant de commencer le chiffrement. Cela permettrait aux attaquants de faire pression sur la victime en combinant l’exposition des données et la perturbation du système.

Sophos estime que la campagne est motivée par des gains financiers. Les opérateurs peuvent déployer eux-mêmes le ransomware ou fournir un accès à des affiliés ransomware distincts après avoir compromis un réseau.

D’autres groupes de menace ont également utilisé Microsoft Teams pour de l’ingénierie sociale. Le groupe MuddyWater, soutenu par l’État iranien, a utilisé Teams et de fausses activités de ransomware pour dissimuler des opérations d’espionnage.

Des campagnes liées à Chaos ont également utilisé d’autres techniques. Dans une opération distincte, le ransomware Chaos a utilisé msaRAT pour déguiser le trafic malveillant à l’intérieur de Chrome et Edge.

Comment les organisations peuvent bloquer les attaques de vishing via Teams

Les entreprises devraient limiter les communications Microsoft Teams externes ou surveiller étroitement les messages et les appels provenant de comptes extérieurs à l’organisation.

Les employés ne devraient jamais approuver une demande de support à distance inattendue sans la confirmer par une méthode de contact interne officielle. Les services informatiques devraient également expliquer clairement quels outils leurs techniciens utilisent et comment les demandes d’assistance légitimes commencent.

Les équipes de sécurité devraient bloquer ou restreindre l’Assistance rapide, RemSupp, AnyDesk, DWAgent et les logiciels similaires sur les systèmes qui n’ont pas besoin d’administration à distance.

Les organisations doivent surveiller toute activité PowerShell inhabituelle, y compris les téléchargements inattendus ou les commandes encodées, ainsi que l’installation d’applications de gestion à distance nouvelles ou non autorisées. Ces comportements peuvent indiquer qu’un attaquant a obtenu un accès initial et tente d’établir le contrôle d’un système.

Ils doivent également surveiller les entrées de registre suspectes imitant des logiciels audio légitimes, les tentatives d’activation du Protocole Bureau à distance et les comptes Microsoft Teams externes se faisant passer pour le personnel de support interne. Ensemble, ces indicateurs peuvent aider à identifier l’ingénierie sociale et l’activité post-compromission à un stade précoce de la chaîne d’attaque.

Dans d’autres actualités de sécurité, Microsoft peine à corriger les vulnérabilités identifiées par Claude Mythos d’Anthropic. À mesure que la recherche en sécurité devient plus automatisée, les attaquants pourraient également trouver et exploiter plus rapidement les faiblesses logicielles.

Via BleepingComputer