Gli aggressori si spacciano per supporto IT di Microsoft Teams e abusano di AD CS per rubare dati aziendali

Gli aggressori si spacciano per supporto IT di Microsoft Teams e abusano di AD CS per rubare dati aziendali — Rassegna informativa e sintesi tecnica curata da PCNext sulla base del report documentato da The Hacker News.

Sintesi della Notizia & Quadro dell’Evento

Gli aggressori che si spacciavano per supporto IT di Microsoft Teams hanno convinto i dipendenti a concedere loro il controllo remoto dei propri PC. Hanno quindi utilizzato impostazioni non sicure di Servizi certificati Active Directory (AD CS) per ottenere certificati di accesso per account privilegiati, incluso uno per un controller di dominio.

Microsoft ha dichiarato in un rapporto di aver indagato su due di queste intrusioni, una delle quali ha comportato la copiatura dei dati aziendali su un server esterno.

Dettagli Tecnici & Approfondimento

Gli aggressori non hanno sfruttato alcuna falla interna di Teams. Si affidavano all'ingegneria sociale e ad AD CS che erano stati impostati in modo non sicuro e Microsoft non collegava l'attività a nessun gruppo noto.

Entrambe le intrusioni sono iniziate allo stesso modo, ha affermato Microsoft. Gli aggressori hanno inviato messaggi e chiamato i dipendenti su Teams fingendosi IT o help desk dell'azienda, lavorando da inquilini esterni con nomi a tema di supporto in modo che il contatto sembrasse familiare.

Hanno convinto ogni utente ad aprire Quick Assist, uno strumento di assistenza remota integrato in Windows, e a leggere loro il codice di connessione. Ciò ha dato all'aggressore il controllo diretto e pratico della workstation.