L'outil d'exploitation Microsoft Teams génère automatiquement des logiciels malveillants

L'outil d'exploitation Microsoft Teams génère automatiquement des logiciels malveillants

Horodatage: 5 juillet 2023 5h09
L'outil d'exploitation Microsoft Teams fournit automatiquement des logiciels malveillants PlatoBlockchain Data Intelligence. Recherche verticale. Aï.

Un nouvel outil est disponible sur GitHub qui permet aux attaquants d'exploiter une vulnérabilité récemment révélée dans Microsoft Teams et de transmettre automatiquement des fichiers malveillants aux utilisateurs Teams ciblés d'une organisation.

L'outil, baptisé « TeamsPhisher », fonctionne dans des environnements dans lesquels une organisation autorise les communications entre ses utilisateurs Teams internes et les utilisateurs Teams externes – ou locataires. Il permet aux attaquants de transmettre des charges utiles directement dans la boîte de réception d'une victime. sans recourir à un phishing traditionnel ou à une ingénierie sociale des arnaques pour y arriver.

"Donnez à TeamsPhisher une pièce jointe, un message et une liste des utilisateurs cibles de Teams", a déclaré le développeur de l'outil Alex Reid, membre de l'équipe rouge de l'US Navy, dans une description de l'outil sur GitHub. "Il téléchargera la pièce jointe sur le Sharepoint de l'expéditeur, puis parcourra la liste des cibles."

Flux de cyberattaques entièrement automatisés

ÉquipesPhisher intègre une technique que deux chercheurs des JUMPSEC Labs ont récemment révélée pour contourner une fonctionnalité de sécurité dans Microsoft Teams. Bien que l'application de collaboration permette les communications entre les utilisateurs Teams de différentes organisations, elle bloque le partage de fichiers entre eux.

Max Corbridge et Tom Ellson, chercheurs de JUMPSEC trouvé un moyen relativement simple pour contourner cette restriction, en utilisant ce que l'on appelle la technique IDOR (Insecure Direct Object Reference). En tant que fournisseur de sécurité Varonis a noté dans un article de blog récent, « Les bogues IDOR permettent à un attaquant d'interagir de manière malveillante avec une application Web en manipulant une « référence d'objet directe » telle qu'une clé de base de données, un paramètre de requête ou un nom de fichier.

Corbridge et Ellson ont découvert qu'ils pouvaient exploiter un problème d'IDOR dans Teams en changeant simplement l'ID du destinataire interne et externe lors de la soumission d'une requête POST. Les deux chercheurs ont découvert que lorsqu'une charge utile est envoyée de cette manière, la charge utile est hébergée sur le domaine SharePoint de l'expéditeur et arrive dans la boîte de réception de l'équipe de la victime. Corbridge et Ellson ont identifié la vulnérabilité comme affectant toutes les organisations exécutant Teams dans une configuration par défaut et l'ont décrite comme quelque chose qu'un attaquant pourrait utiliser pour contourner les mécanismes anti-phishing et autres contrôles de sécurité. Microsoft a reconnu le problème mais l'a évalué comme quelque chose qui ne méritait pas une solution immédiate.

TeamsPhisher intègre plusieurs techniques d'attaque

Reid a décrit son outil TeamsPhisher comme intégrant les techniques de JUMPSEC ainsi que des recherches antérieures sur la manière d'exploiter Microsoft Teams pour un accès initial par un chercheur indépendant. Andréa Santese. Il intègre également des techniques de ÉquipesEnum, un outil d'énumération des utilisateurs Teams, qu'un chercheur de Secure Systems Engineering GmbH avait précédemment publié sur GitHub.

Selon Reid, le fonctionnement de TeamsPhisher consiste d'abord à énumérer un utilisateur Teams cible et à vérifier que l'utilisateur peut recevoir des messages externes. TeamsPhisher crée ensuite un nouveau fil de discussion avec l'utilisateur cible. Il utilise une technique qui permet au message d'arriver dans la boîte de réception de la cible sans l'habituel écran de démarrage « Quelqu'un en dehors de votre organisation vous a envoyé un message, êtes-vous sûr de vouloir le voir », a déclaré Reid. 

"Avec le nouveau fil de discussion créé entre notre expéditeur et la cible, le message spécifié sera envoyé à l'utilisateur avec un lien vers la pièce jointe dans Sharepoint", a-t-il noté. "Une fois ce message initial envoyé, le fil de discussion créé sera visible dans l'interface graphique Teams de l'expéditeur et pourra être utilisé manuellement, si nécessaire, au cas par cas."

Microsoft n'a pas immédiatement répondu à une demande de Dark Reading sollicitant des commentaires sur la possibilité que la publication de TeamsPhisher ait modifié sa position sur la correction du bogue détecté par JUMPSEC. JUMPSEC lui-même a exhorté les organisations utilisant Microsoft Teams à vérifier s'il existe un besoin commercial pour permettre les communications entre les utilisateurs internes de Teams et les locataires externes. 

"Si vous n'utilisez pas actuellement Teams pour communiquer régulièrement avec des locataires externes, renforcez vos contrôles de sécurité et supprimez complètement cette option", a conseillé l'entreprise.

Horodatage:

Plus de Lecture sombre