В более чем 400 зафиксированных инцидентах злоумышленники сочетали email-бомбинг и внешние чаты Teams, чтобы выдать себя за внутреннюю IT-поддержку и уговорить сотрудника открыть сеанс удалённого доступа. Для компаний это неприятный сдвиг: атака приходит не через подозрительное вложение, а через привычный корпоративный мессенджер и легитимные инструменты администрирования.
О повторяющемся сценарии сообщает Dark Reading со ссылкой на исследование Arctic Wolf. По оценке специалистов компании, примерно 15% наблюдавшихся попыток заходили дальше первого контакта и заканчивались успешной компрометацией. Атрибуция не окончательная, однако одним из заметных источников злоупотреблений чатами Teams исследователи называют активность, связанную с группировкой Black Basta.
Схема начинается с почтового шума. Жертву массово подписывают на рассылки или заваливают уведомлениями, чтобы создать ощущение аварии: в ящике сотни новых писем, работать невозможно, нужна срочная помощь. В этот момент в Teams приходит личное сообщение от якобы сотрудника IT-службы. Злоумышленник предлагает «разобраться» с почтой и просит запустить средство удалённой поддержки.
Ключевой элемент здесь — не вредоносный эксплойт, а доверие к знакомым продуктам. В атаках чаще всего использовался Quick Assist; также наблюдались AnyDesk, ScreenConnect, Atera, Zoho Assist, NetSupport и LogMeIn. Если сотрудник сам подтверждает подключение, граница между обычной техподдержкой и захватом рабочей станции стирается быстрее, чем успевает сработать правило о блокировке вредоносных файлов.
Как выглядит компрометация
После получения доступа атакующие переходят к привычной последовательности действий. Они собирают сведения о системе командами вроде whoami и systeminfo, запускают полезную нагрузку через PowerShell, устанавливают канал управления и начинают искать путь к учётным данным. Среди следующих шагов Arctic Wolf отмечает боковое перемещение и злоупотребление Kerberos — в частности Kerberoasting и GoldenPAC. Затем может появиться ещё один коммерческий инструмент удалённого доступа: он даёт атакующим запасной канал управления, который переживёт удаление первоначальной нагрузки.
Именно эта связка делает внешние чаты Teams проблемой не только для службы ИБ, но и для владельцев корпоративной инфраструктуры. Условный антивирус может не увидеть ничего экзотического: пользователь сам запускает разрешённую программу, а администраторский доступ используют штатные средства. В результате расследовать приходится уже не письмо с известным хешем, а цепочку решений сотрудника, настройки федерации Teams, логи идентификации и историю удалённых подключений.
Сам email-бомбинг давно не новость. Microsoft связывала применение этой техники с Black Basta ещё в 2024 году; позднее похожие приёмы замечали в кампаниях 3AM, Cactus, Chaos и GoGRPC. Новая деталь — масштаб и повторяемость инфраструктуры. Исследователи увидели одни и те же одноразовые тенанты, отображаемые имена вроде «IT Support (Internal)», наборы инструментов удалённого доступа и домены для полезной нагрузки в сотнях случаев. Это уже не разовая уловка конкретного оператора, а воспроизводимая модель первоначального доступа.
На что смотреть защитникам
Отображаемое имя с пометкой «(Internal)» рассчитано на беглый взгляд: рядом с ним Teams всё равно показывает, что собеседник внешний, но в момент почтового хаоса этот маркер легко пропустить. Атакующие используют и правдоподобные человеческие имена — например, Liam, Scott McGhee или Matthew, — а также локализованные варианты вроде «Supporte TI» для франко- и испаноязычных организаций. В отдельных случаях в именах фигурировало около 100 различных эмодзи. На уровне доменов заметен уход от одноразовых адресов onmicrosoft.com к контролируемым доменам; около половины наблюдавшихся платных доменов имели зону .top.
Практический сигнал для SOC — событие ChatCreated: перед разговором с жертвой атакующие создают личный чат, избегая групповых бесед. Arctic Wolf считает его основной точкой детектирования. Полезно отдельно настроить оповещения о первом контакте внешнего пользователя, особенно если за ним следует запуск или установка ПО для удалённого доступа. Не менее важна организационная часть: сотрудники должны точно знать, каким каналом и в каких случаях с ними связывается внутренняя IT-служба, а поддержка — не просить запускать удалённый доступ в ответ на внезапный поток писем.
Минимальный набор защитных мер выглядит довольно приземлённо: разрешить федерацию только с доверенными внешними организациями, запретить чаты от неуправляемых и потребительских аккаунтов Teams, отключить возможность для неуправляемых пользователей начинать переписку и ограничить взаимодействие с пробными тенантами. Отдельно стоит пересмотреть, кто и как может использовать Quick Assist и другие средства удалённого администрирования. Запретить всё подряд — соблазнительно, но для распределённой компании это часто означает лишь перенос поддержки в менее контролируемый канал.
Microsoft заявила, что в следующем месяце Teams добавит ИИ-обнаружение фишинга: система должна анализировать контекст диалога в более рискованных сценариях, прежде всего при первом сообщении от внешнего контакта. Но автоматическая проверка не отменяет базового вопроса для каждой компании: смогут ли её правила, телеметрия и сотрудники отличить реального инженера поддержки от человека, который удачно выбрал момент, имя и кнопку «Подключиться»? Пока ответ на него определяет, останутся ли внешние чаты Teams рабочим инструментом или станут устойчивым маршрутом для первичного проникновения.
