Truffe di supporto IT su Microsoft Teams portano ad attacchi del ransomware Chaos

I malintenzionati si spacciano per addetti al supporto IT aziendale su Microsoft Teams per ottenere l’accesso remoto ai dispositivi dei dipendenti e distribuire il ransomware Chaos.

Sophos monitora questa campagna con il nome di STAC4749. L’azienda di sicurezza ha osservato decine di tentativi di attacco contro organizzazioni negli Stati Uniti e in Canada tra febbraio e giugno 2026. Almeno tre episodi si sono conclusi con la cifratura dei file tramite ransomware.

Gli aggressori si fingono personale IT su Microsoft Teams

Gli aggressori contattavano i dipendenti tramite account Microsoft Teams esterni. Durante le chat e le chiamate vocali, si presentavano come tecnici dell’help desk o membri del reparto IT dell’azienda.

Sostenevano quindi di aver bisogno di accedere al computer del dipendente per risolvere un problema tecnico. Il loro obiettivo era convincere la vittima ad approvare una sessione di supporto remoto senza verificare la richiesta attraverso un canale interno.

Una volta che il dipendente accettava la richiesta, gli aggressori ottenevano accesso diretto al dispositivo e iniziavano a installare strumenti aggiuntivi.

RemSupp sostituisce Assistenza rapida di Microsoft negli attacchi più recenti

Le prime versioni della campagna si basavano principalmente su Assistenza rapida di Microsoft, una funzionalità legittima di Windows che consente a un’altra persona di visualizzare o controllare un computer da remoto.

Quando Assistenza rapida era bloccata o non disponibile, gli aggressori istruivano le vittime a installare altri software di gestione remota. A partire da aprile, hanno fatto sempre più affidamento sul servizio cloud RemSupp.

Sophos ritiene che RemSupp possa essere diventato l’opzione preferita perché meno elenchi di blocco delle applicazioni aziendali lo riconoscevano. L’uso di software di supporto remoto legittimo aiutava inoltre gli aggressori a evitare di distribuire strumenti palesemente dannosi durante la prima fase dell’attacco.

PowerShell scarica una backdoor persistente

Dopo aver ottenuto l’accesso remoto, gli aggressori usavano comandi PowerShell per scaricare una backdoor nella cartella %AppData% della vittima.

Il malware raccoglieva informazioni sul sistema compromesso, creava meccanismi di persistenza e manteneva l’accesso dopo la fine della sessione Teams o di supporto remoto originale.

Per far sembrare legittima l’attività, gli aggressori creavano voci di registro con nomi che imitavano componenti audio di Windows. Tra i nomi osservati figurano Realtek HD Audio, Realtek Audio UHD e WinAudio life2.

Queste voci permettevano al malware di avviarsi automaticamente, rendendo al contempo più difficile per i dipendenti e gli amministratori identificare il processo sospetto.

Gli aggressori installano molteplici strumenti di accesso remoto

Negli incidenti che sono progrediti fino al ransomware, il gruppo ha installato applicazioni di accesso remoto aggiuntive, tra cui DWAgent e AnyDesk.

Questi strumenti fornivano un accesso di riserva nel caso in cui i difensori interrompessero la connessione originale. Gli aggressori tentavano anche di abilitare il Protocollo Desktop remoto, che poteva aiutarli ad accedere ad altri sistemi e a muoversi attraverso la rete aziendale.

Sophos ha osservato ripetuti cambiamenti nella catena di attacco tra febbraio e maggio. Gli operatori adattavano strumenti, comandi e metodi di persistenza man mano che i prodotti di sicurezza iniziavano a rilevare le versioni precedenti.

Il ransomware Chaos ha cifrato più sistemi contemporaneamente

Almeno tre attacchi di STAC4749 hanno portato alla distribuzione del ransomware Chaos. Durante questi incidenti, il ransomware ha cifrato i file su diversi computer compromessi approssimativamente nello stesso momento.

Le prove raccolte in almeno un attacco suggeriscono che il gruppo potrebbe aver sottratto dati aziendali prima di avviare la cifratura. Ciò consentirebbe agli aggressori di esercitare pressione sulla vittima sia con l’esposizione dei dati che con l’interruzione dei sistemi.

Sophos valuta che la campagna abbia motivazioni economiche. Gli operatori potrebbero distribuire il ransomware direttamente oppure fornire accesso a gruppi di ransomware affiliati dopo aver compromesso una rete.

Anche altri gruppi di minacce hanno utilizzato Microsoft Teams per attività di ingegneria sociale. Il gruppo MuddyWater, sostenuto dallo stato iraniano, ha usato Teams e finte attività ransomware per mascherare operazioni di spionaggio.

Anche altre campagne legate a Chaos hanno impiegato tecniche differenti. In un’operazione separata, il ransomware Chaos ha utilizzato msaRAT per camuffare il traffico malevolo all’interno di Chrome ed Edge.

Come le organizzazioni possono bloccare gli attacchi di vishing su Teams

Le aziende dovrebbero limitare le comunicazioni esterne su Microsoft Teams o monitorare attentamente i messaggi e le chiamate provenienti da account esterni all’organizzazione.

I dipendenti non dovrebbero mai approvare una richiesta di supporto remoto inaspettata senza confermarla tramite un metodo di contatto interno ufficiale. I reparti IT dovrebbero inoltre spiegare chiaramente quali strumenti utilizzano i loro tecnici e come vengono avviate le richieste di supporto legittime.

I team di sicurezza dovrebbero bloccare o limitare Assistenza rapida, RemSupp, AnyDesk, DWAgent e software simili sui sistemi che non richiedono amministrazione remota.

Le organizzazioni dovrebbero monitorare attività PowerShell insolite, inclusi download imprevisti o comandi codificati, così come l’installazione di applicazioni di gestione remota nuove o non autorizzate. Questi comportamenti possono indicare che un aggressore ha ottenuto un accesso iniziale e sta tentando di stabilire il controllo su un sistema.

Dovrebbero inoltre prestare attenzione a voci di registro sospette che imitano software audio legittimi, ai tentativi di abilitare il Protocollo Desktop remoto e agli account Microsoft Teams esterni che si spacciano per personale di supporto interno. Nel loro insieme, questi indicatori possono aiutare a identificare precocemente le attività di ingegneria sociale e post-compromissione nella catena di attacco.

In altre notizie di sicurezza, Microsoft fatica a correggere le vulnerabilità individuate da Claude Mythos di Anthropic. Con l’automazione crescente della ricerca sulla sicurezza, anche gli aggressori potrebbero individuare e sfruttare le debolezze del software più rapidamente.

Via BleepingComputer