Le truffe di supporto IT su Microsoft Teams portano ad attacchi del ransomware Chaos

Gli aggressori si fingono addetti al supporto IT aziendale su Microsoft Teams per ottenere accesso remoto ai dispositivi dei dipendenti e distribuire il ransomware Chaos.

Sophos monitora la campagna come STAC4749. L’azienda di sicurezza ha osservato decine di tentativi di attacco contro organizzazioni negli Stati Uniti e in Canada tra febbraio e giugno 2026. Almeno tre incidenti si sono conclusi con la cifratura ransomware.

Gli aggressori si spacciano per personale IT su Microsoft Teams

Gli aggressori contattavano i dipendenti tramite account Microsoft Teams esterni. Durante le chat e le chiamate vocali, si presentavano come tecnici dell’helpdesk o membri del reparto IT dell’azienda.

Poi affermavano di aver bisogno di accedere al computer del dipendente per risolvere un problema tecnico. Il loro obiettivo era convincere il bersaglio ad approvare una sessione di supporto remoto senza verificare la richiesta tramite un canale interno.

Una volta che il dipendente accettava la richiesta, gli aggressori ottenevano accesso diretto al dispositivo e iniziavano a installare strumenti aggiuntivi.

RemSupp sostituisce Assistenza rapida di Microsoft negli attacchi successivi

Le prime versioni della campagna si basavano fortemente su Assistenza rapida di Microsoft, una funzionalità di supporto legittima di Windows che consente a un’altra persona di visualizzare o controllare un computer da remoto.

Quando Assistenza rapida veniva bloccata o non era disponibile, gli aggressori ordinavano alle vittime di installare altro software di gestione remota. A partire da aprile, hanno fatto sempre più affidamento sul servizio cloud RemSupp.

Sophos ritiene che RemSupp possa essere diventata l’opzione preferita perché meno blocklist di applicazioni aziendali la riconoscevano. L’uso di software di supporto remoto legittimo ha inoltre aiutato gli aggressori a evitare di distribuire strumenti chiaramente dannosi durante la prima fase dell’attacco.

PowerShell scarica una backdoor persistente

Dopo aver ottenuto l’accesso remoto, gli aggressori hanno usato comandi PowerShell per scaricare una backdoor nella cartella %AppData% della vittima.

Il malware raccoglieva informazioni sul sistema compromesso, creava meccanismi di persistenza e manteneva l’accesso anche dopo la fine della sessione Teams o di supporto remoto originale.

Per far sembrare legittima l’attività, gli aggressori creavano voci di registro con nomi che assomigliavano a componenti audio di Windows. I nomi osservati includevano Realtek HD Audio, Realtek Audio UHD e WinAudio life2.

Queste voci consentivano al malware di avviarsi automaticamente, rendendo più difficile per i dipendenti e gli amministratori identificare il processo sospetto.

Gli aggressori installano più strumenti di accesso remoto

Negli incidenti che sono progrediti fino al ransomware, il gruppo installava applicazioni di accesso remoto aggiuntive, tra cui DWAgent e AnyDesk.

Questi strumenti fornivano un accesso di backup nel caso in cui i difensori interrompessero la connessione originale. Gli aggressori hanno anche tentato di abilitare il Protocollo desktop remoto, che poteva aiutarli ad accedere ad altri sistemi e a spostarsi all’interno della rete aziendale.

Sophos ha osservato ripetute modifiche alla catena di attacco tra febbraio e maggio. Gli operatori adattavano i propri strumenti, comandi e metodi di persistenza man mano che i prodotti di sicurezza iniziavano a rilevare le versioni precedenti.

Il ransomware Chaos ha cifrato più sistemi contemporaneamente

Almeno tre attacchi STAC4749 hanno portato alla distribuzione del ransomware Chaos. Durante questi incidenti, il ransomware ha cifrato i file su diversi computer compromessi all’incirca nello stesso momento.

Le prove di almeno un attacco suggeriscono che il gruppo potrebbe aver rubato dati aziendali prima di avviare la cifratura. Ciò consentirebbe agli aggressori di fare pressione sulla vittima sia con l’esposizione dei dati sia con l’interruzione del sistema.

Sophos valuta la campagna come motivata finanziariamente. Gli operatori potrebbero distribuire il ransomware autonomamente o fornire accesso a affiliati di ransomware separati dopo aver compromesso una rete.

Anche altri gruppi di minacce hanno usato Microsoft Teams per ingegneria sociale. Il gruppo MuddyWater, sostenuto dallo stato iraniano, ha utilizzato Teams e attività ransomware fasulle per nascondere operazioni di spionaggio.

Anche le campagne legate a Chaos hanno usato altre tecniche. In un’operazione separata, il ransomware Chaos ha usato msaRAT per camuffare il traffico dannoso all’interno di Chrome e Edge.

Come le organizzazioni possono bloccare gli attacchi di vishing su Teams

Le aziende dovrebbero limitare le comunicazioni esterne di Microsoft Teams o monitorare attentamente i messaggi e le chiamate provenienti da account esterni all’organizzazione.

I dipendenti non dovrebbero mai approvare una richiesta di supporto remoto inaspettata senza confermarla tramite un metodo di contatto interno ufficiale. I reparti IT dovrebbero inoltre spiegare chiaramente quali strumenti utilizzano i loro tecnici e come iniziano le richieste di supporto legittime.

I team di sicurezza dovrebbero bloccare o limitare Assistenza rapida, RemSupp, AnyDesk, DWAgent e software simili sui sistemi che non richiedono amministrazione remota.

Le organizzazioni dovrebbero monitorare attività insolite di PowerShell, inclusi download imprevisti o comandi codificati, nonché l’installazione di nuove applicazioni di gestione remota o non autorizzate. Questi comportamenti possono indicare che un aggressore ha ottenuto l’accesso iniziale e sta tentando di stabilire il controllo su un sistema.

Dovrebbero anche tenere d’occhio le voci di registro sospette che imitano software audio legittimi, i tentativi di abilitare il Protocollo desktop remoto e gli account Microsoft Teams esterni che si spacciano per personale di supporto interno. Insieme, questi indicatori possono aiutare a identificare l’ingegneria sociale e l’attività post-compromissione nelle prime fasi di una catena di attacco.

Tra le altre notizie di sicurezza, Microsoft fatica a correggere le vulnerabilità identificate da Claude Mythos di Anthropic. Man mano che la ricerca sulla sicurezza diventa più automatizzata, anche gli aggressori potrebbero trovare e sfruttare le debolezze del software più rapidamente.

Via BleepingComputer