Falso suporte no Teams dá controlo de PC

Uma campanha maliciosa está a utilizar o Microsoft Teams e o Windows Quick Assist para obter controlo remoto de computadores empresariais através de engenharia social, sem necessidade de explorar uma vulnerabilidade ou comprometer previamente a palavra-passe da vítima.

Segundo uma análise da Unit 42, da Palo Alto Networks, os atacantes contactam funcionários através do acesso externo do Teams e fazem-se passar por elementos do suporte informático. Durante a interação, convencem a vítima a abrir o Quick Assist, ferramenta nativa do Windows destinada a assistência remota, e a autorizar uma sessão.

Depois de obter controlo do computador, o atacante descarrega um instalador MSI alojado numa infraestrutura Amazon S3 sob o seu controlo. O ficheiro pode apresentar um nome semelhante ao de uma atualização legítima e instala uma aplicação assinada juntamente com uma DLL maliciosa.

Quando a aplicação legítima é executada, carrega a DLL colocada no mesmo diretório em vez da biblioteca normal do Windows, através de uma técnica conhecida como DLL sideloading. Desta forma, o código malicioso é executado associado a uma aplicação assinada.

A DLL estabelece uma ligação encriptada a um endpoint do AWS API Gateway, permitindo que as comunicações com a infraestrutura dos atacantes se confundam com tráfego associado a serviços cloud.

O código recorre depois ao Windows Management Instrumentation (WMI) para iniciar separadamente um programa de reverse shell. Segundo a Unit 42, esta separação pode dificultar mecanismos de deteção baseados apenas na relação entre processos, uma vez que a shell não é iniciada diretamente pela aplicação utilizada no DLL sideloading.

A reverse shell comunica localmente com a DLL, que mantém a ligação externa, e disponibiliza aos atacantes uma linha de comandos oculta no sistema comprometido.

A partir daí, os operadores podem identificar o utilizador autenticado, consultar configurações de rede, enumerar contas do domínio e verificar o registo do dispositivo. A campanha permite ainda consultar pastas de documentos sincronizadas com serviços cloud, criando risco de exposição de dados empresariais e informação associada a identidades.

A campanha explora sobretudo a confiança em ferramentas legítimas utilizadas no ambiente de trabalho. O contacto inicial através do Teams e o recurso ao Quick Assist podem tornar o pedido semelhante a uma intervenção normal do suporte técnico.

A Unit 42 recomenda às organizações que restrinjam ou monitorizem contactos no Teams provenientes de contas externas não confiáveis e avaliem se o Quick Assist é necessário nos seus ambientes. Os pedidos inesperados de assistência remota devem ser confirmados através dos canais internos habituais antes de ser concedido acesso ao computador.

As equipas de segurança podem ainda procurar sinais como aplicações assinadas a carregar DLL não assinadas a partir do mesmo diretório, processos inesperados iniciados através de WMI e ligações encriptadas anómalas para endpoints do AWS API Gateway.