Attacco informatico via Teams: un semplice messaggio può compromettere la tua azienda!

Redazione RHC : 2 Aprile 2025 10:45

Con l’uso crescente di strumenti di collaborazione come Microsoft Teams, le aziende devono essere consapevoli dei rischi legati a possibili attacchi informatici. Implementare misure di sicurezza avanzate e formare adeguatamente gli utenti diventa essenziale per contrastare le minacce. In risposta a questo problema, Microsoft ha annunciato l’introduzione di notifiche di sicurezza in Quick Assist, progettate per avvisare gli utenti di possibili tentativi di truffa legati al supporto tecnico. Inoltre, si consiglia alle organizzazioni di limitare o disattivare l’uso di Quick Assist e altri strumenti di accesso remoto, qualora non siano strettamente necessari, per ridurre il rischio di compromissione.

Un attacco sofisticato con vishing e strumenti legittimi

Un recente rapporto del Cyber Defence Centre di Ontinue ha documentato un attacco in cui gli hacker hanno utilizzato una combinazione di ingegneria sociale, vishing (phishing vocale) e software di accesso remoto per infiltrarsi nei sistemi aziendali.

La tecnica di attacco prevedeva l’invio di un messaggio su Microsoft Teams contenente un comando PowerShell dannoso. Approfittando della fiducia degli utenti nelle comunicazioni interne, il cybercriminale si spacciava per un tecnico IT per convincere la vittima ad eseguire il comando e a concedere accesso remoto attraverso Quick Assist. Questa tattica è coerente con le tecniche adottate dal gruppo Storm-1811, noto per utilizzare vishing e strumenti di supporto remoto per ottenere il controllo dei dispositivi bersaglio.

Il payload e l’installazione della backdoor

Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference.  Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.  Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale.  Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Dopo aver ottenuto l’accesso iniziale, gli attaccanti hanno sfruttato il sideloading DLL per eseguire codice malevolo attraverso un file binario firmato e legittimo di TeamViewer.exe, che ha caricato un modulo dannoso TV.dll.

Questo approccio consente di eludere i sistemi di sicurezza, poiché l’eseguibile sembra autentico. La seconda fase dell’attacco ha comportato l’esecuzione di una backdoor basata su JavaScript tramite Node.js (hcmd.exe), la quale ha stabilito una connessione persistente ai server di comando e controllo degli aggressori.

Grazie alle funzionalità socket, gli hacker potevano eseguire comandi da remoto senza essere rilevati facilmente.

Strategie di rilevamento e prevenzione

La catena di attacco osservata rientra in diverse categorie del framework MITRE ATT&CK, tra cui:

• T1105 – Trasferimento di strumenti malevoli
• T1656 – Impersonificazione
• T1219 – Utilizzo di software di accesso remoto
• T1218 – Esecuzione tramite binari firmati
• T1197 – Abuso dei lavori BITS

Per mitigare il rischio di simili attacchi, gli esperti di sicurezza consigliano alle aziende di limitare l’uso di strumenti di accesso remoto non indispensabili e di disabilitare le connessioni esterne a Teams. Inoltre, la formazione dei dipendenti su tecniche di ingegneria sociale e phishing vocale è fondamentale per ridurre la probabilità di cadere vittima di queste sofisticate campagne malevole.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli