Le truffe di supporto IT su Microsoft Teams portano ad attacchi ransomware Chaos

Gli attori delle minacce si fingono personale di supporto IT aziendale su Microsoft Teams per ottenere l’accesso remoto ai dispositivi dei dipendenti e distribuire il ransomware Chaos.

Sophos traccia la campagna come STAC4749. L’azienda di sicurezza ha osservato decine di tentativi di attacco contro organizzazioni negli Stati Uniti e in Canada tra febbraio e giugno 2026. Almeno tre incidenti si sono conclusi con la crittografia ransomware.

Gli aggressori impersonano il personale IT su Microsoft Teams

Gli aggressori contattavano i dipendenti tramite account Microsoft Teams esterni. Durante chat e chiamate vocali, si presentavano come tecnici dell’helpdesk o membri del reparto IT dell’azienda.

Affermavano quindi di aver bisogno di accedere al computer del dipendente per risolvere un problema tecnico. Il loro obiettivo era convincere il bersaglio ad approvare una sessione di supporto remoto senza verificare la richiesta tramite un canale interno.

Una volta che un dipendente accettava la richiesta, gli aggressori ottenevano accesso diretto al dispositivo e iniziavano a installare strumenti aggiuntivi.

RemSupp sostituisce l’Assistenza rapida di Microsoft negli attacchi successivi

Le prime versioni della campagna facevano largo uso dell’Assistenza rapida di Microsoft, una funzionalità di supporto legittima di Windows che permette a un’altra persona di visualizzare o controllare un computer in remoto.

Quando l’Assistenza rapida era bloccata o non disponibile, gli aggressori istruivano le vittime a installare altri software di gestione remota. Da aprile in poi, hanno fatto sempre più affidamento sul servizio cloud RemSupp.

Sophos ritiene che RemSupp possa essere diventato l’opzione preferita perché meno elenchi di blocco delle applicazioni aziendali lo riconoscevano. L’uso di software di supporto remoto legittimo aiutava inoltre gli aggressori a evitare di distribuire strumenti chiaramente dannosi durante la prima fase dell’attacco.

PowerShell scarica una backdoor persistente

Dopo aver ottenuto l’accesso remoto, gli aggressori utilizzavano comandi PowerShell per scaricare una backdoor nella cartella %AppData% della vittima.

Il malware raccoglieva informazioni sul sistema compromesso, creava meccanismi di persistenza e manteneva l’accesso dopo la fine della sessione Teams o di supporto remoto originale.

Per far apparire l’attività legittima, gli aggressori creavano voci di registro con nomi che ricordavano componenti audio di Windows. I nomi osservati includevano Realtek HD Audio, Realtek Audio UHD e WinAudio life2.

Queste voci consentivano al malware di avviarsi automaticamente, rendendo più difficile per i dipendenti e gli amministratori identificare il processo sospetto.

Gli aggressori installano più strumenti di accesso remoto

Negli incidenti che progredivano fino al ransomware, il gruppo installava applicazioni di accesso remoto aggiuntive, tra cui DWAgent e AnyDesk.

Questi strumenti fornivano un accesso di backup nel caso in cui i difensori interrompessero la connessione originale. Gli aggressori tentavano inoltre di abilitare il protocollo Remote Desktop Protocol, che poteva aiutarli ad accedere ad altri sistemi e a muoversi attraverso la rete aziendale.

Sophos ha osservato ripetute modifiche alla catena di attacco tra febbraio e maggio. Gli operatori adattavano i propri strumenti, comandi e metodi di persistenza man mano che i prodotti di sicurezza iniziavano a rilevare le versioni precedenti.

Il ransomware Chaos ha crittografato più sistemi contemporaneamente

Almeno tre attacchi di STAC4749 hanno portato alla distribuzione del ransomware Chaos. Durante questi incidenti, il ransomware ha crittografato i file su diversi computer compromessi all’incirca nello stesso momento.

Le prove di almeno un attacco suggeriscono che il gruppo potrebbe aver rubato dati aziendali prima di iniziare la crittografia. Ciò consentirebbe agli aggressori di esercitare pressione sulla vittima sia con l’esposizione dei dati che con l’interruzione del sistema.

Sophos valuta la campagna come motivata finanziariamente. Gli operatori potrebbero distribuire il ransomware direttamente o fornire l’accesso ad affiliati ransomware separati dopo aver compromesso una rete.

Anche altri gruppi di minacce hanno utilizzato Microsoft Teams per ingegneria sociale. Il gruppo iraniano MuddyWater, sostenuto dallo stato, ha usato Teams e attività ransomware fasulle per nascondere operazioni di spionaggio.

Anche le campagne legate a Chaos hanno utilizzato altre tecniche. In un’operazione separata, il ransomware Chaos ha usato msaRAT per mascherare il traffico dannoso all’interno di Chrome ed Edge.

Come le organizzazioni possono bloccare gli attacchi di vishing su Teams

Le aziende dovrebbero limitare le comunicazioni esterne su Microsoft Teams o monitorare attentamente i messaggi e le chiamate provenienti da account esterni all’organizzazione.

I dipendenti non dovrebbero mai approvare una richiesta di supporto remoto inaspettata senza averla confermata tramite un metodo di contatto interno ufficiale. I reparti IT dovrebbero inoltre spiegare chiaramente quali strumenti utilizzano i loro tecnici e come vengono avviate le richieste di supporto legittime.

I team di sicurezza dovrebbero bloccare o limitare l’Assistenza rapida, RemSupp, AnyDesk, DWAgent e software simili sui sistemi che non richiedono l’amministrazione remota.

Le organizzazioni dovrebbero monitorare attività anomale di PowerShell, inclusi download imprevisti o comandi codificati, nonché l’installazione di nuove applicazioni di gestione remota o non autorizzate. Questi comportamenti possono indicare che un aggressore ha ottenuto l’accesso iniziale e sta tentando di stabilire il controllo su un sistema.

Dovrebbero inoltre prestare attenzione a voci di registro sospette che imitano software audio legittimi, tentativi di abilitare il Remote Desktop Protocol e account Microsoft Teams esterni che si spacciano per personale di supporto interno. Insieme, questi indicatori possono aiutare a identificare l’ingegneria sociale e l’attività post-compromissione nelle prime fasi di una catena di attacco.

In altre notizie sulla sicurezza, Microsoft fatica a correggere le vulnerabilità identificate da Claude Mythos di Anthropic. Man mano che la ricerca sulla sicurezza diventa più automatizzata, anche gli aggressori potrebbero trovare e sfruttare le debolezze del software più rapidamente.

Via BleepingComputer