Ataki przez Microsoft Teams: nowa fala socjotechniki od grupy KongTuke. Jak się bronić?
Grupa KongTuke wykorzystuje Microsoft Teams do podszywania się pod dział IT i instalowania złośliwego oprogramowania. Atak może zająć mniej niż pięć minut. Sprawdź, jak ograniczyć ryzyko.
Grupa KongTuke, znana jako broker dostępu początkowego (IAB), zmieniła taktykę i zaczęła wykorzystywać Microsoft Teams do socjotechnicznych ataków na firmy. Jak opisują badacze ReliaQuest, cyberprzestępcy podszywają się pod pracowników działu IT i nakłaniają ofiary do uruchomienia złośliwego polecenia PowerShell, które instaluje backdoora ModeloRAT. Atak może zakończyć się uzyskaniem trwałego dostępu do sieci firmowej w mniej niż pięć minut.
Jak działa atak?
KongTuke wysyła wiadomość przez Microsoft Teams do pracownika firmy, podszywając się pod help desk. Dzięki sztuczkom z białymi znakami Unicode wyświetlana nazwa wygląda wiarygodnie. Ofiara jest proszona o skopiowanie i wklejenie polecenia PowerShell, które pobiera archiwum ZIP z Dropbox. W środku znajduje się przenośne środowisko WinPython uruchamiające ModeloRAT – złośliwe oprogramowanie napisane w Pythonie.
Jak podaje BleepingComputer, wersja ModeloRAT użyta w tej kampanii jest bardziej zaawansowana niż poprzednie. Posiada odporną architekturę C2 z pulą pięciu serwerów, automatyczne przełączanie awaryjne, samoaaktualizację oraz trzy niezależne kanały dostępu: główny RAT, reverse shell i backdoor TCP. Mechanizmy trwałości obejmują wpisy Run, skróty w Autostarcie, skrypty VBScript oraz zadania harmonogramu działające z uprawnieniami SYSTEM, które nie są usuwane przez procedurę samozniszczenia implantu.
Dlaczego to zagrożenie jest poważne?
KongTuke to broker dostępu początkowego – jego celem jest sprzedaż dostępu do sieci firmowych grupom ransomware. Atak przez Teams jest szczególnie niebezpieczny, bo wykorzystuje zaufane narzędzie komunikacji wewnętrznej. Badacze ReliaQuest podkreślają, że w badanych przypadkach pojedyncza rozmowa na czacie zewnętrznym wystarczyła, by w ciągu pięciu minut uzyskać trwały dostęp. Kampania trwa co najmniej od kwietnia 2026 roku, a atakujący rotują między pięcioma dzierżawami Microsoft 365, by uniknąć blokad.
Jak się bronić?
Najskuteczniejszym środkiem obrony jest ograniczenie federacji Microsoft Teams do zaufanych domen. Administratorzy powinni skonfigurować listy dozwolonych dzierżaw, aby blokować połączenia z nieznanych organizacji. Warto również:
- włączyć ostrzeżenia przed uruchamianiem poleceń PowerShell z zewnętrznych źródeł,
- monitorować zdarzenia związane z wykonywaniem PowerShell przez użytkowników,
- korzystać z wskaźników kompromitacji (IOC) opublikowanych w raporcie ReliaQuest,
- edukować pracowników, by nie ufali nieoczekiwanym prośbom o uruchomienie kodu, nawet jeśli nadawca wydaje się być z IT.
Więcej szczegółów na temat kampanii oraz listę wskaźników można znaleźć w artykule BleepingComputer.
Co dalej?
Ataki z wykorzystaniem platform komunikacyjnych będą prawdopodobnie przybierać na sile. Firmy powinny regularnie przeglądać polityki bezpieczeństwa Microsoft 365 i testować scenariusze socjotechniczne. W przypadku wykrycia podejrzanej aktywności w Teams warto niezwłocznie skontaktować się z zespołem IT i zgłosić incydent do CERT.
