Chiamate di impersonificazione su Microsoft Teams usate per distribuire il malware EtherRAT

Secondo i ricercatori di sicurezza, gli aggressori abusano delle chiamate vocali di Microsoft Teams per fingersi membri del personale IT interno e convincere i dipendenti a installare software di accesso remoto, una tattica che può portare alla distribuzione del malware EtherRAT sui sistemi aziendali.

La campagna, descritta da Unit 42 di Palo Alto Networks, combina diversi elementi di tradecraft già noti: un’e-mail di phishing, una falsa chiamata dell’helpdesk, strumenti legittimi di gestione remota e un loader malware personalizzato. L’esca iniziale è un’e-mail che fa riferimento a un sondaggio per i dipendenti e include un PDF dannoso. Dopo l’apertura del documento, il bersaglio riceve una chiamata su Teams da un account esterno che sostiene di essere un amministratore di sistema.

I ricercatori hanno osservato che il chiamante appariva su Teams con un avviso relativo a un utente esterno, suggerendo che l’account appartenesse a un tenant Microsoft 365 diverso. Nell’attività analizzata da Unit 42, l’aggressore utilizzava un account denominato helpdesk@Progressive936.onmicrosoft[.]com fingendo di assistere la vittima.

Come si svolge l’intrusione

Una volta convinto il bersaglio a condividere il controllo tramite la condivisione dello schermo di Teams, l’aggressore indirizza l’utente verso l’installazione di utility legittime per l’accesso remoto, come HopToDesk e AnyDesk. Questo passaggio consente all’aggressore di operare direttamente sulla macchina e fa apparire la sessione come un’attività ordinaria.

Da quel momento, l’avversario scarica un pacchetto MSI dannoso da un sito esterno. Il programma di installazione funge da loader: recupera un runtime Node.js, decritta i componenti incorporati e avvia EtherRAT. Il malware è scritto in Node.js ed è progettato per fornire un ampio controllo sui sistemi infetti, inclusa l’esecuzione di comandi, la manipolazione dei file, la persistenza e il furto di dati.

Unit 42 ha inoltre trovato prove del fatto che l’infrastruttura del malware viene mantenuta attivamente, tra cui diverse versioni del programma di installazione archiviate in una directory aperta. EtherRAT era già comparso in attività collegate a gruppi statali e legate allo sfruttamento della vulnerabilità React2Shell, per poi essere riutilizzato da altri attori delle minacce.

I risultati si inseriscono in una tendenza più ampia che vede gli aggressori sfruttare le piattaforme di collaborazione per ottenere un punto d’appoggio nelle organizzazioni. Di recente Microsoft ha introdotto ulteriori avvisi per i contatti esterni di Teams e nuovi controlli pensati per ridurre il rischio di impersonificazione e accessi non autorizzati.

Per i responsabili della difesa, la campagna rappresenta un ulteriore promemoria del fatto che l’ingegneria sociale e gli strumenti di amministrazione legittimi possono essere combinati per aggirare i tradizionali confini di sicurezza. Formare gli utenti affinché verifichino le richieste di assistenza inattese tramite canali separati resta un importante livello di difesa.