Cybercriminelen maken momenteel misbruik van Microsoft Teams-chats om zich voor te doen als medewerkers van de IT-helpdesk. Deze aanvallen vereisen geen kwetsbaarheden in de software zelf, maar leunen zwaar op het vertrouwen dat werknemers hebben in berichten die ogenschijnlijk van hun interne IT-ondersteuning afkomstig zijn.

De aanvallers zetten hun campagnes op vanuit door henzelf beheerde Microsoft 365-tenants. Ze creëren daarvoor weergavenamen die sterk lijken op legitieme IT-supportteams, zoals "IT Service Desk" of "Help Desk". Vervolgens nemen ze via externe Teams-chats contact op met werknemers. Dit is mogelijk doordat Microsoft Teams standaard communicatie met externe domeinen toestaat, mits externe toegang aan beide zijden is ingeschakeld.

In hun berichten claimen de aanvallers vaak dat er direct actie ondernomen moet worden. Dit kan variëren van het oplossen van een beveiligingsprobleem of e-mailproblemen, tot het opschonen van een apparaat of het installeren van een dringende update. De hacker vraagt de werknemer vervolgens om stappen te ondernemen zoals het downloaden van een bestand, het goedkeuren van schermcontrole, het openen van Quick Assist, of het verstrekken van een code voor externe ondersteuning. Deze werkwijze, ook wel cross-tenant impersonatie genoemd, is erop gericht werknemers te overhalen interactieve sessies voor externe toegang toe te staan.

Eenmaal toegang verleend, krijgen aanvallers de mogelijkheid om commando's uit te voeren, malware te installeren, Active Directory-systemen te verkennen, lateraal door netwerken te bewegen en gevoelige gegevens te stelen.

Een recente campagne maakte gebruik van de SynkLoader malwarefamilie. Deze werd verspreid via een Microsoft Teams phishingbericht dat zich voordeed als IT-ondersteuning. Het slachtoffer werd overgehaald om een kwaadaardig MSI-bestand te installeren, dat naar verluidt werd gehost op Microsoft Azure opslag. SynkLoader is in staat om grotendeels in het geheugen te opereren en persistentie te creëren via geplande taken.

Een specifieke module van SynkLoader, PhishLocker genaamd, presenteert een nagemaakt vergrendelingsscherm van Windows dat nauwelijks te onderscheiden is van het legitieme Windows-inlogscherm. De malware kan de accountnaam van de gebruiker en een bekende Windows-achtergrond tonen om de prompt zo authentiek mogelijk te laten lijken. Wanneer de werknemer zijn wachtwoord invoert om de computer te ontgrendelen, wordt dit wachtwoord in platte tekst onderschept door het valse scherm. De aanvaller hoeft hierbij geen wachtwoord-hash te kraken of het inlogproces te omzeilen; het doel is direct de ingevoerde inloggegevens te bemachtigen.

Een nep-vergrendelingsscherm kan soms herkend worden door op Ctrl+Alt+Delete te drukken. Een echt Windows-vergrendelingsscherm zou dan het scherm "Windows-beveiliging" openen, terwijl een applicatie op volledig scherm dit gedrag niet kan nabootsen. Ook het gebruik van Alt+Tab kan een indicatie geven. In het geval van SynkLoader was het nep-vergrendelingsscherm een randeloos venster op volledig scherm, waardoor de taakwisselaar er nog steeds overheen kon verschijnen.

Deze campagne onderstreept een toenemend risico op het gebied van social engineering op samenwerkingsplatforms. Werknemers zijn doorgaans getraind om verdachte e-mails te wantrouwen, maar kunnen minder voorzichtig zijn bij het ontvangen van een live Teams-bericht van iemand die zich voordoet als IT-ondersteuning.

Organisaties wordt aangeraden om externe toegang via Teams te beperken tot bekende en vertrouwde domeinen in plaats van alle externe domeinen toe te staan. Het is eveneens aan te raden externe Teams-communicatie te beperken, gebruikers te voorzien van duidelijke indicatoren voor externe afzenders, en werknemers aan te moedigen ongevraagde ondersteuningsverzoeken te verifiëren via een bekend intern kanaal. Werknemers dienen erop te worden gewezen geen software te installeren, codes voor externe toegang te delen, schermcontrole goed te keuren, of wachtwoorden in te voeren op onverwachte vergrendelingsschermen zonder het verzoek eerst onafhankelijk te bevestigen.