Le truffe di assistenza IT su Microsoft Teams portano ad attacchi del ransomware Chaos

I criminali informatici si spacciano per personale del supporto IT aziendale su Microsoft Teams per ottenere l’accesso remoto ai dispositivi dei dipendenti e distribuire il ransomware Chaos.

Sophos monitora questa campagna con il nome STAC4749. L’azienda di sicurezza ha osservato decine di tentativi di attacco contro organizzazioni negli Stati Uniti e in Canada tra febbraio e giugno 2026. Almeno tre incidenti si sono conclusi con la cifratura da parte del ransomware.

Gli aggressori si fingono personale IT su Microsoft Teams

Gli aggressori hanno contattato i dipendenti tramite account Microsoft Teams esterni. Durante le chat e le chiamate vocali, si sono presentati come tecnici dell’helpdesk o membri del reparto IT dell’azienda.

Hanno quindi affermato di aver bisogno di accedere al computer del dipendente per risolvere un problema tecnico. Il loro obiettivo era convincere la vittima ad approvare una sessione di supporto remoto senza verificare la richiesta attraverso un canale interno.

Una volta che un dipendente ha accettato la richiesta, gli aggressori hanno ottenuto accesso diretto al dispositivo e hanno iniziato a installare strumenti aggiuntivi.

RemSupp sostituisce Microsoft Quick Assist negli attacchi successivi

Le prime versioni della campagna si basavano pesantemente su Microsoft Quick Assist, una legittima funzionalità di supporto di Windows che consente a un’altra persona di visualizzare o controllare un computer da remoto.

Quando Quick Assist era bloccato o non disponibile, gli aggressori istruivano le vittime a installare altri software di gestione remota. Da aprile in poi hanno fatto sempre più affidamento sul servizio cloud RemSupp.

Sophos ritiene che RemSupp possa essere diventato l’opzione preferita perché meno blocklist di applicazioni aziendali lo riconoscevano. L’uso di software di supporto remoto legittimo ha anche aiutato gli aggressori a evitare di distribuire strumenti palesemente malevoli durante la prima fase dell’attacco.

PowerShell scarica una backdoor persistente

Dopo aver ottenuto l’accesso remoto, gli aggressori hanno utilizzato comandi PowerShell per scaricare una backdoor nella cartella %AppData% della vittima.

Il malware raccoglieva informazioni sul sistema compromesso, creava meccanismi di persistenza e manteneva l’accesso dopo il termine della sessione Teams o di supporto remoto originale.

Per far sembrare l’attività legittima, gli aggressori hanno creato voci di registro con nomi che imitavano i componenti audio di Windows. I nomi osservati includevano Realtek HD Audio, Realtek Audio UHD e WinAudio life2.

Queste voci consentivano al malware di avviarsi automaticamente, rendendo più difficile per i dipendenti e gli amministratori identificare il processo sospetto.

Gli aggressori installano più strumenti di accesso remoto

Negli incidenti che sono progrediti fino al ransomware, il gruppo ha installato applicazioni di accesso remoto aggiuntive, tra cui DWAgent e AnyDesk.

Questi strumenti fornivano un accesso di backup nel caso in cui i difensori interrompessero la connessione originale. Gli aggressori hanno anche tentato di abilitare Desktop remoto, il che avrebbe potuto aiutarli ad accedere ad altri sistemi e a muoversi attraverso la rete aziendale.

Sophos ha osservato ripetuti cambiamenti alla catena di attacco tra febbraio e maggio. Gli operatori hanno adattato i loro strumenti, comandi e metodi di persistenza man mano che i prodotti di sicurezza iniziavano a rilevare le versioni precedenti.

Il ransomware Chaos ha cifrato più sistemi contemporaneamente

Almeno tre attacchi STAC4749 hanno portato alla distribuzione del ransomware Chaos. Durante questi incidenti, il ransomware ha cifrato i file su diversi computer compromessi all’incirca nello stesso momento.

Le prove di almeno un attacco suggeriscono che il gruppo potrebbe aver rubato dati aziendali prima di avviare la cifratura. Ciò consentirebbe agli aggressori di esercitare pressione sulla vittima sia con l’esposizione dei dati che con l’interruzione dei sistemi.

Sophos valuta che la campagna sia motivata finanziariamente. Gli operatori potrebbero distribuire il ransomware direttamente o fornire l’accesso a affiliati ransomware separati dopo aver compromesso una rete.

Anche altri gruppi di minacce hanno utilizzato Microsoft Teams per l’ingegneria sociale. Il gruppo MuddyWater, sostenuto dallo stato iraniano, ha usato Teams e attività ransomware fasulle per nascondere operazioni di spionaggio.

Le campagne legate a Chaos hanno anche utilizzato altre tecniche. In un’operazione separata, il ransomware Chaos ha usato msaRAT per mascherare il traffico malevolo all’interno di Chrome ed Edge.

Come le organizzazioni possono bloccare gli attacchi di vishing su Teams

Le aziende dovrebbero limitare le comunicazioni esterne su Microsoft Teams o monitorare attentamente i messaggi e le chiamate da account esterni all’organizzazione.

I dipendenti non dovrebbero mai approvare una richiesta di supporto remoto inaspettata senza confermarla attraverso un metodo di contatto interno ufficiale. I reparti IT dovrebbero anche spiegare chiaramente quali strumenti utilizzano i loro tecnici e come vengono avviate le richieste di supporto legittime.

I team di sicurezza dovrebbero bloccare o limitare Quick Assist, RemSupp, AnyDesk, DWAgent e software simili sui sistemi che non richiedono amministrazione remota.

Le organizzazioni dovrebbero monitorare l’attività insolita di PowerShell, inclusi download imprevisti o comandi codificati, così come l’installazione di applicazioni di gestione remota nuove o non autorizzate. Questi comportamenti possono indicare che un aggressore ha ottenuto l’accesso iniziale e sta tentando di stabilire il controllo su un sistema.

Dovrebbero anche prestare attenzione a voci di registro sospette che imitano software audio legittimi, tentativi di abilitare Desktop remoto e account Microsoft Teams esterni che si spacciano per personale di supporto interno. Insieme, questi indicatori possono aiutare a identificare l’ingegneria sociale e le attività successive alla compromissione nelle prime fasi di una catena di attacco.

In altre notizie sulla sicurezza, Microsoft fatica a correggere le vulnerabilità identificate da Claude Mythos di Anthropic. Man mano che la ricerca sulla sicurezza diventa più automatizzata, anche gli aggressori potrebbero trovare e sfruttare più rapidamente le debolezze del software.

Via BleepingComputer