False chiamate di supporto IT su Microsoft Teams usate per diffondere il malware EtherRAT

Secondo i ricercatori di sicurezza, gli aggressori stanno abusando di Microsoft Teams per fingersi addetti all’help desk e convincere i dipendenti a concedere loro l’accesso remoto, causando l’installazione di malware sui dispositivi delle vittime.

Secondo Unit 42 di Palo Alto Networks, la campagna inizia con un’e-mail di phishing presentata come un sondaggio per i dipendenti. Il messaggio è seguito da una chiamata su Teams effettuata da una persona che afferma di appartenere al supporto IT. Durante la chiamata, la vittima viene convinta ad accettare una sessione di controllo remoto e a installare strumenti legittimi di amministrazione remota come HopToDesk o AnyDesk. Nella fase finale, l’aggressore scarica un pacchetto MSI che distribuisce EtherRAT, un trojan per l’accesso remoto.

Il ricercatore di Unit 42 Brian Janower ha dichiarato che i log di un caso mostravano una sessione intitolata “Amministratore di sistema (esterno non riconosciuto) | Microsoft Teams”, a indicare che il contatto proveniva dall’esterno dell’organizzazione e non aveva instaurato alcun rapporto di fiducia. I record di controllo di Teams hanno inoltre mostrato che una chat individuale cross-tenant era stata avviata da un account controllato dagli aggressori.

EtherRAT è un RAT basato su Node.js, in grado di funzionare su Windows, Linux e macOS. Una volta installato, offre all’operatore ampio accesso al sistema compromesso, inclusa la possibilità di eseguire comandi, spostare file, sottrarre informazioni e mantenere l’accesso nel tempo.

Il malware utilizza inoltre un metodo insolito per individuare la propria infrastruttura di comando e controllo. Anziché affidarsi interamente a indirizzi fissi, EtherRAT recupera l’indirizzo di un server attivo da uno smart contract Ethereum, con un dominio di fallback disponibile qualora l’approccio principale non funzioni.

Cosa possono cercare i responsabili della difesa

• Chat o chiamate Teams inattese provenienti da account esterni che affermano di appartenere al personale IT
• Richieste di installare software di assistenza remota durante un’interazione con l’help desk
• File il cui nome inizia con CtrlVirtualCursorWin_*, che Teams può creare durante le sessioni di controllo remoto
• Programmi di installazione MSI che compaiono dopo una richiesta di assistenza remota

I ricercatori hanno inoltre individuato quella che sembra essere una directory aperta contenente campioni di EtherRAT contrassegnati con le versioni da 1 a 9, con alcuni file aggiornati ancora il 26 giugno. Ciò suggerisce che gli operatori responsabili del malware lo stiano ancora mantenendo attivamente.

La campagna fa parte di una tendenza più ampia in cui gli autori delle minacce utilizzano gli strumenti di collaborazione per conquistare la fiducia delle vittime e aggirare le normali attività di sensibilizzazione sulla sicurezza. In questo caso, Microsoft Teams non viene attaccato direttamente all’inizio dell’intrusione; viene invece utilizzato come canale di ingegneria sociale che apre la porta.