Con l’uso crescente di strumenti di collaborazione come Microsoft Teams, le aziende devono essere consapevoli dei rischi legati a possibili attacchi informatici. Implementare misure di sicurezza avanzate e formare adeguatamente gli utenti diventa essenziale per contrastare le minacce. In risposta a questo problema, Microsoft ha annunciato l’introduzione di notifiche di sicurezza in Quick Assist, progettate per avvisare gli utenti di possibili tentativi di truffa legati al supporto tecnico. Inoltre, si consiglia alle organizzazioni di limitare o disattivare l’uso di Quick Assist e altri strumenti di accesso remoto, qualora non siano strettamente necessari, per ridurre il rischio di compromissione.
Un recente rapporto del Cyber Defence Centre di Ontinue ha documentato un attacco in cui gli hacker hanno utilizzato una combinazione di ingegneria sociale, vishing (phishing vocale) e software di accesso remoto per infiltrarsi nei sistemi aziendali.
La tecnica di attacco prevedeva l’invio di un messaggio su Microsoft Teams contenente un comando PowerShell dannoso. Approfittando della fiducia degli utenti nelle comunicazioni interne, il cybercriminale si spacciava per un tecnico IT per convincere la vittima ad eseguire il comando e a concedere accesso remoto attraverso Quick Assist. Questa tattica è coerente con le tecniche adottate dal gruppo Storm-1811, noto per utilizzare vishing e strumenti di supporto remoto per ottenere il controllo dei dispositivi bersaglio.
 Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀
Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮.
Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Dopo aver ottenuto l’accesso iniziale, gli attaccanti hanno sfruttato il sideloading DLL per eseguire codice malevolo attraverso un file binario firmato e legittimo di TeamViewer.exe, che ha caricato un modulo dannoso TV.dll.
Questo approccio consente di eludere i sistemi di sicurezza, poiché l’eseguibile sembra autentico. La seconda fase dell’attacco ha comportato l’esecuzione di una backdoor basata su JavaScript tramite Node.js (hcmd.exe), la quale ha stabilito una connessione persistente ai server di comando e controllo degli aggressori.
Grazie alle funzionalità socket, gli hacker potevano eseguire comandi da remoto senza essere rilevati facilmente.
La catena di attacco osservata rientra in diverse categorie del framework MITRE ATT&CK, tra cui:
Per mitigare il rischio di simili attacchi, gli esperti di sicurezza consigliano alle aziende di limitare l’uso di strumenti di accesso remoto non indispensabili e di disabilitare le connessioni esterne a Teams. Inoltre, la formazione dei dipendenti su tecniche di ingegneria sociale e phishing vocale è fondamentale per ridurre la probabilità di cadere vittima di queste sofisticate campagne malevole.
Ti è piaciutno questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Hacking
Cyber Italia
Cyberpolitica
Cybercrime
Cybercrime