Des appels d’imitation de Microsoft Teams utilisés pour diffuser le malware EtherRAT

Des chercheurs en sécurité affirment que des attaquants détournent les appels vocaux de Microsoft Teams pour se faire passer pour le personnel informatique interne et convaincre les employés d’installer un logiciel d’accès à distance, une tactique qui peut aboutir au déploiement du malware EtherRAT sur les systèmes de l’entreprise.

La campagne, décrite par l’Unit 42 de Palo Alto Networks, combine plusieurs éléments bien connus des modes opératoires malveillants : un e-mail d’hameçonnage, un faux appel du service d’assistance, des outils légitimes de gestion à distance et un chargeur de malware personnalisé. Le leurre initial est un e-mail faisant référence à une enquête auprès des employés et contenant un PDF malveillant. Après l’ouverture du document, la cible reçoit un appel Teams d’un compte externe qui affirme être administrateur système.

Les chercheurs ont constaté que l’appelant apparaissait dans Teams avec un avertissement signalant un utilisateur externe, ce qui suggère que le compte appartenait à un autre tenant Microsoft 365. Dans l’activité examinée par l’Unit 42, l’attaquant utilisait un compte nommé helpdesk@Progressive936.onmicrosoft[.]com tout en prétendant aider la victime.

Déroulement de l’intrusion

Une fois la cible convaincue de partager le contrôle via le partage d’écran de Teams, l’attaquant lui demande d’installer des utilitaires légitimes d’accès à distance tels que HopToDesk et AnyDesk. Cette étape permet à l’attaquant d’accéder directement à la machine tout en donnant à la session une apparence normale.

L’adversaire télécharge ensuite un package MSI malveillant depuis un site externe. Le programme d’installation sert de chargeur : il récupère un environnement d’exécution Node.js, déchiffre des composants intégrés et lance EtherRAT. Le malware est écrit en Node.js et est conçu pour fournir un contrôle étendu des systèmes infectés, notamment l’exécution de commandes, la manipulation de fichiers, la persistance et le vol de données.

L’Unit 42 a également trouvé des éléments indiquant que l’infrastructure du malware fait l’objet d’une maintenance active, notamment plusieurs versions du programme d’installation stockées dans un répertoire ouvert. EtherRAT est déjà apparu dans des activités liées à un État et associées à l’exploitation de la faille React2Shell ; il a depuis été réutilisé par d’autres acteurs malveillants.

Ces résultats s’inscrivent dans une tendance plus large : les attaquants exploitent les plateformes de collaboration pour s’implanter dans les organisations. Microsoft a récemment ajouté des avertissements supplémentaires concernant les contacts externes dans Teams ainsi que de nouveaux contrôles destinés à réduire les risques d’usurpation d’identité et d’accès non autorisé.

Pour les défenseurs, cette campagne rappelle une fois de plus que l’ingénierie sociale et les outils d’administration légitimes peuvent être combinés pour contourner les périmètres de sécurité traditionnels. Former les utilisateurs à vérifier les demandes d’assistance inattendues par d’autres canaux reste une mesure de défense importante.