De faux appels du support informatique Microsoft Teams servent à diffuser le malware EtherRAT

Des chercheurs en sécurité affirment que des attaquants détournent Microsoft Teams pour se faire passer pour des membres du support informatique et convaincre des employés de leur accorder un accès à distance, ce qui conduit à l’installation d’un malware sur les machines des victimes.

Selon Unit 42 de Palo Alto Networks, la campagne commence par un e-mail d’hameçonnage présenté comme une enquête destinée aux employés. Ce message est suivi d’un appel Teams d’une personne prétendant travailler au support informatique. Au cours de l’appel, la cible est persuadée d’accepter une session de contrôle à distance et d’installer des outils légitimes d’administration à distance tels que HopToDesk ou AnyDesk. Lors de l’étape finale, l’attaquant télécharge un package MSI qui déploie EtherRAT, un cheval de Troie d’accès à distance.

Le chercheur de Unit 42 Brian Janower a indiqué que les journaux d’un cas révélaient une session intitulée « System Administrator (External unfamiliar) | Microsoft Teams », ce qui indiquait que le contact provenait de l’extérieur de l’organisation et qu’aucune relation de confiance n’était établie. Les journaux d’audit de Teams ont également montré qu’une conversation individuelle inter-locataires avait été initiée depuis un compte contrôlé par l’attaquant.

EtherRAT est un RAT basé sur Node.js qui peut fonctionner sous Windows, Linux et macOS. Une fois installé, il donne à son opérateur un accès étendu au système compromis, notamment la possibilité d’exécuter des commandes, de déplacer des fichiers, de dérober des informations et de maintenir son accès au fil du temps.

Le malware utilise également une méthode inhabituelle pour localiser son infrastructure de commande et de contrôle. Plutôt que de s’appuyer entièrement sur des adresses fixes, EtherRAT récupère l’adresse d’un serveur actif depuis un smart contract Ethereum, avec un domaine de secours disponible si l’approche principale échoue.

Ce que les défenseurs peuvent surveiller

• Les conversations ou appels Teams inattendus provenant de comptes externes prétendant appartenir au support informatique
• Les demandes d’installation d’un logiciel d’assistance à distance lors d’un échange avec le support
• Les fichiers dont le nom commence par CtrlVirtualCursorWin_*, que Teams peut créer pendant les sessions de contrôle à distance
• Les programmes d’installation MSI apparaissant après une demande d’assistance à distance

Les chercheurs ont également découvert ce qui semble être un répertoire ouvert contenant des échantillons d’EtherRAT portant les numéros de version 1 à 9, certains fichiers ayant été mis à jour aussi récemment que le 26 juin. Cela suggère que les opérateurs à l’origine du malware continuent de le maintenir activement.

Cette campagne s’inscrit dans une tendance plus large des acteurs malveillants à utiliser les outils de collaboration pour gagner la confiance des utilisateurs et contourner les mesures habituelles de sensibilisation à la sécurité. Dans ce cas, Microsoft Teams n’est pas directement attaqué au début de l’intrusion ; il est plutôt utilisé comme canal d’ingénierie sociale qui ouvre la voie.