Red Hot Cyber
Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.
Redazione RHC : 29 Agosto 2025 09:00
Negli ultimi mesi, come anticipato più volte su Red Hot Cyber, è emerso un nuovo fronte nello scenario del phishing aziendale: attacchi tramite Microsoft Teams in cui i malintenzionati si spacciano per personale IT o help desk. Approfittando delle funzionalità base della piattaforma, come la comunicazione esterna consentita per default, gli aggressori ingaggiano gli utenti con messaggi, chiamate o richieste di condivisione schermo, spesso inserendosi in modo insospettabile nella chat di Teams. L’efficacia di queste tattiche è cresciuta parallelamente all’adozione diffusa di Teams come strumento primario di lavoro collaborativo.
I danni possono concretizzarsi quando la vittima, convinta di aiutare un tecnico interno, accede alla condivisione o all’uso di strumenti di controllo remoto (come Quick Assist, AnyDesk o strumenti RMM). Questo consente agli attaccanti di installare malware, compromettere endpoint, disabilitare protezioni e avanzare lateralmente nella rete aziendale. Una campagna, denominata VEILDrive, ha mostrato come l’attaccante abbia sfruttato un account precedentemente compromesso per inviare messaggi di phishing attraverso Teams e ottenere così l’accesso iniziale.
Un modus operandi frequentemente osservato prevede un’email bombing, ovvero un’inondazione di mail in breve tempo – anche migliaia in pochi minuti – per creare un senso d’urgenza e spingere le vittime a cercare aiuto tecnico.
 Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀
Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮.
Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Gli aggressori sfruttano questo pretesto per contattarli via Teams. In questo contesto, le vittime ricevono messaggi da domini .onmicrosoft.com non verificati ma che includono parole come “helpdesk”, “IT” o “support”, aumentando il rischio di confusione.
Gli aggressori iniziano talvolta compromettendo account Teams interni o creando tenant Entra ID autonomi, spesso usando domini .onmicrosoft.com, soprattutto in assenza di configurazioni personalizzate. Le differenze tra account personali, licenze di prova e tenant aziendali influiscono poi sui log generati e sulle funzionalità disponibili.
Il phishing in chat one-to-one sfrutta la semplicità con cui, via Teams, si può cercare utenti esterni e inviare loro messaggi, abilità supportata dall’interfaccia della piattaforma. Anche se Microsoft attiva avvisi in caso di messaggi esterni o sospetti, questi possono essere aggirati in fasi successive dell’attacco.
I log di Microsoft 365 offrono tracce importanti per l’investigazione: eventi come ChatCreated, MessageSent, UserAccepted e TeamsImpersonationDetected permettono di ricostruire le conversazioni sospette, identificare clic sugli avvisi di comunicazione esterna, e persino rilevare tentativi di impersonificazione.
In caso di chiamate vocali (vishing), Teams non mostra avvisi sul lato vittima e i log rimangono limitati, generando soltanto eventi come ChatCreated e MessageSent, rendendo difficile distinguere queste chiamate dalle chat testuali. Inoltre, la condivisione dello schermo può essere abilitata facilmente se l’utente ci casca, mentre il controllo remoto è bloccato di default ma può essere attivato tramite policy, aumentando la superficie di attacco.
Per contrastare questa minaccia, Team AXON propone una logica di rilevamento basata su UEBA, arricchita con scoring e contesto: vengono identificati chat esterni inusuali, domini .onmicrosoft.com, pattern con keyword sospette (es. helpdesk), uso di caratteri non-ASCII (emoji), e picchi di TIMailData legati a email bombing. L’analisi considera anche eventi come UserAccepted, risposte dell’utente, o l’aggiunta di membri ai thread
Completano il quadro le soluzioni tecniche: l’impiego di un sistema di Endpoint Detection and Response (EDR) combinato con antivirus di nuova generazione (Next-Gen AV) è raccomandato. Questi strumenti possono bloccare comportamenti anomali, intercettare applicazioni malevole e sostenere le attività investigative post-evento.
RedazioneIl mondo della tecnologia quantistica ha compiuto un balzo in avanti impressionante: QuantWare ha presentato il primo processore al mondo da 10.000 qubit, 100 volte più di qualsiasi dispositivo esist...
Un aggiornamento urgente è stato pubblicato da Ivanti per la sua piattaforma Endpoint Manager (EPM), al fine di risolvere un insieme di vulnerabilità significative che potrebbero permettere agli agg...
A seguito della scoperta di exploit attivi, la Cybersecurity and Infrastructure Security Agency (CISA) ha inserito due vulnerabilità critiche al catalogo Known Exploited Vulnerabilities (KEV) dell’...
Una vulnerabilità zero-day nel driver Windows Cloud Files Mini Filter (cldflt.sys) è attualmente oggetto di sfruttamento attivo. Microsoft ha provveduto al rilascio di aggiornamenti di sicurezza urg...
Una vulnerabilità critica, monitorata con il codice CVE-2025-59719, riguarda le linee di prodotti FortiOS, FortiWeb, FortiProxy e FortiSwitchManager è stata segnalata da Fortinet tramite un avviso d...
