کلاهبرداری تلفنی از توی Microsoft Teams
خلاصهٔ کامل‌تر
به گزارش Unit 42 پالو آلتو نتورکس، بین ژانویه تا آوریل ۲۰۲۶ یه عملیات مهندسی اجتماعی هماهنگ در جریان بوده که اون‌ها اسمش رو Spring Ring گذاشتن. مهاجم‌ها با اکانت‌های خارجی Microsoft Teams وارد چت کارمندها می‌شدن و خودشون رو تیم پشتیبانی IT معرفی می‌کردن. طبق تله‌متری اون‌ها، بیش از ۱۵۰ کارمند تو دست‌کم ۱۰ شرکت از صنایع مختلف هدف بودن و در مجموع ۲۶ هویت جعلی شناسایی شده.
نکتهٔ اصلی اینه که هیچ آسیب‌پذیری نرم‌افزاری وسط نیست. حمله روی vishing بنا شده، یعنی فیشینگ صوتی: بعد از باز شدن چت، مهاجم یه تماس صوتی می‌گیره و با صدای یه «تکنسین» حرفه‌ای اعتماد قربانی رو جلب می‌کنه. نویسنده می‌گه تماس صوتی معمولاً خیلی کمتر از ایمیل و فایل‌ها مانیتور و ضبط میشه، پس مهاجم یه فضای خلوت برای فریب دادن قربانی داره. آمار Cortex هم نشون می‌ده سهم هشدارهای فیشینگ از ابزارهای همکاری تو چهار ماه اول ۲۰۲۶ به ۴۲ درصد رسیده، در حالی که تو چهار ماه قبلش ۳۰ درصد بود.
هویت‌های جعلی روی تننت‌های خارجی onmicrosoft.com ساخته شده بودن، با اسم‌هایی که کلمه‌هایی مثل internal، certified، network یا infrastructure توشون بود تا رسمی به نظر برسن. اسم نمایشی هم چیزهایی مثل IT help desk یا admin بود. تو بعضی موارد حتی از اسم واقعی کارشناس‌های شناخته‌شدهٔ صنعت استفاده کردن. آی‌پی مبدأ هم معمولاً از سرویس‌های VPN تجاری میومد.
Unit 42 دو کمپین مجزا رو تشریح کرده. تو کمپین A مهاجم قربانی رو راضی می‌کرد ابزار RMM اجرا کنه، مثل Quick Assist ویندوز، و بعد از گرفتن کنترل چندتا دستور شناسایی ساده روی سیستم و دامنه می‌زد. مرحلهٔ بعد دانلود یه RAT مبتنی بر PowerShell بود که با دستکاری متغیر و محاسبات ریاضی مبهم‌سازی شده بود. پی‌لود واقعی‌اش فقط یه استیجر نه‌خطی بود که AMSI رو از کار می‌انداخت، با یه اسکن آزمایشی از جواب دادنش مطمئن می‌شد، بعد داده‌های سیستم رو رمز می‌کرد و به سرور فرمان‌دهی می‌فرستاد.
کمپین B خیلی سفارشی‌تر بود. مهاجم قربانی رو به یه لینک ابری می‌فرستاد که اسم شرکت و اسم خود قربانی توش بود، و فایل اجرایی دانلودشده خودش رو تو پوشهٔ Temp کپی می‌کرد و برای ماندگاری چند نسخه از خودش می‌ساخت. بعد یه نسخهٔ مخفی و headless از Microsoft Edge بالا میومد و یه افزونه بهش تزریق می‌شد. مرحلهٔ آخر حرکت جانبی بود: اسکن پورت ۴۴۵، ترافیک NTLM به سمت دامین کنترلر، و تلاش برای حملهٔ PetitPotam که قبل از موفقیت متوقف شد.
برای شناسایی، Unit 42 پیشنهاد می‌ده به جای دنبال بدافزار گشتن، رفتار هویت‌های خارجی رو پروفایل کنین. مهم‌ترین نشانه، پرش سریع از یه درخواست چت دونفره به یه تماس صوتی ناخواسته‌ست. الگوی دیگه اینه که مهاجم‌ها سریع بین هدف‌ها می‌چرخن و گاهی تو چند دقیقه به ۵ تا ۶ نفر پیام می‌دن؛ تماس‌های موفق هم معمولاً ۱۰ تا ۱۵ دقیقه طول می‌کشه. اجرای غیرعادی ابزار RMM توسط کاربری که اصلاً به پشتیبانی از راه دور نیاز نداره هم یه پرچم قرمز جدیه.
نکات کلیدی:
- Spring Ring از ژانویه تا آوریل ۲۰۲۶ فعال بود؛ بیش از ۱۵۰ کارمند در دست‌کم ۱۰ شرکت
- ۲۶ هویت جعلی از تننت‌های خارجی onmicrosoft.com با اسم‌های شبیه هلپ‌دسک داخلی
- کمپین A: ابزار RMM مثل Quick Assist و بعد یه RAT مبهم‌شدهٔ PowerShell که AMSI رو می‌بست
- کمپین B: فایل اجرایی سفارشی، Edge مخفی با افزونهٔ تزریقی، و تلاش PetitPotam برای رله NTLM
- سهم ابزارهای همکاری از کل هشدارهای فیشینگ Cortex از ۳۰٪ به ۴۲٪ رسید
