Хакери використовували Teams і Quick Assist для доступу до корпоративних систем

Зловмисники застосовували повідомлення та дзвінки в Microsoft Teams, видаючи себе за працівників ІТ-підтримки або служби допомоги, щоб переконати користувачів надати віддалений доступ до корпоративних комп’ютерів через Quick Assist. Про це йдеться у звіті Microsoft, повідомляє CNET.

Після того як працівники надавали доступ, атакувальники могли встановлювати програмне забезпечення за допомогою середовищ виконання Python, Bun або Java, відкривати мережеві з’єднання та надавати собі права автентифікації. Це дозволяло їм отримувати широкий доступ до корпоративних систем.

Як працювала соціальна інженерія

За даними Microsoft, обидва описані інциденти починалися з фішингових повідомлень і дзвінків у Teams. Зловмисники переконували користувача відкрити Quick Assist і передати код підключення, після чого отримували безпосередній доступ до робочої станції.

Компанія зазначила, що користувачам слід обережно ставитися до зовнішніх запитів на з’єднання та повідомлень, перевіряти особу відправника і зміст запиту перед будь-якими діями. Адміністратори також можуть заблокувати зовнішніх користувачів Teams або визначити, кому в організації дозволено спілкуватися чи проводити зустрічі з людьми поза межами підприємства.

Нові інструменти захисту Teams

Представник Microsoft повідомив, що компанія запроваджує систему виявлення фішингу на основі штучного інтелекту. Вона аналізуватиме контекст розмови для виявлення фішингу та соціальної інженерії в ризикованіших сценаріях обміну повідомленнями, зокрема під час першого контакту із зовнішніми користувачами.

У дорожній карті Teams також передбачено можливість повідомляти про підозрілі гостьові запрошення та розмивати QR-коди, надіслані зовнішніми відправниками. Доцент Інституту обчислювальних і кіберсистем Michigan Tech Ю Кай зазначив, що штучний інтелект не замінив людських хакерів, а може робити атаки соціальної інженерії переконливішими, зокрема завдяки клонуванню голосу або дипфейк-відео.