Orodje Microsoft Teams Exploit samodejno dostavi zlonamerno programsko opremo

Na GitHubu je na voljo novo orodje, ki napadalcem omogoča, da izkoristijo nedavno razkrito ranljivost v Microsoft Teams in samodejno dostavijo zlonamerne datoteke ciljnim uporabnikom Teams v organizaciji.

Orodje, poimenovano »TeamsPhisher«, deluje v okoljih, kjer organizacija omogoča komunikacijo med svojimi notranjimi uporabniki Teams in zunanjimi uporabniki Teams – ali najemniki. Napadalcem omogoča dostavo uporabnih tovorov neposredno v žrtvin nabiralnik brez zanašanja na tradicionalno lažno predstavljanje ali socialni inženiring prevare, da bi ga dobili tja.

»Dajte TeamsPhisherju prilogo, sporočilo in seznam ciljnih uporabnikov Teams,« je v opisu orodja na GitHubu dejal razvijalec orodja Alex Reid, član rdeče ekipe ameriške mornarice. "Priponko bo naložil v pošiljateljev Sharepoint in nato ponovil seznam ciljev."

Popolnoma avtomatizirani tokovi kibernetskih napadov

TeamsPhisher vključuje tehniko, ki sta jo nedavno razkrila dva raziskovalca v JUMPSEC Labs za izogibanje varnostni funkciji v Microsoft Teams. Medtem ko aplikacija za sodelovanje omogoča komunikacijo med uporabniki Teams iz različnih organizacij, blokira skupno rabo datotek med njimi.

Raziskovalca JUMPSEC Max Corbridge in Tom Ellson našel razmeroma enostaven način da zaobide to omejitev z uporabo tako imenovane tehnike IDOR (Insecure Direct Object Reference). Kot prodajalec varnosti Varonis opozoril v nedavni objavi na blogu, "Hrošči IDOR omogočajo napadalcu zlonamerno interakcijo s spletno aplikacijo z manipulacijo 'neposredne reference predmeta', kot je ključ baze podatkov, poizvedbeni parameter ali ime datoteke."

Corbridge in Ellson sta ugotovila, da lahko izkoristita težavo IDOR v Teams preprosto tako, da zamenjata ID notranjega in zunanjega prejemnika pri oddaji zahteve POST. Raziskovalca sta odkrila, da ko je tovor poslan na ta način, tovor gostuje v pošiljateljevi domeni SharePoint in prispe v nabiralnik ekipe žrtve. Corbridge in Ellson sta ugotovila, da ranljivost vpliva na vsako organizacijo, ki uporablja Teams v privzeti konfiguraciji, in jo opisala kot nekaj, kar bi napadalec lahko uporabil za obhod mehanizmov za preprečevanje lažnega predstavljanja in drugih varnostnih kontrol. Microsoft je priznal težavo, vendar jo je ocenil kot nekaj, kar si ne zasluži takojšnjega popravka.

TeamsPhisher vključuje tehnike večkratnih napadov

Reid je opisal, da njegovo orodje TeamsPhisher vključuje tehnike JUMPSEC in nekatere prejšnje raziskave neodvisnega raziskovalca o tem, kako uporabiti Microsoft Teams za začetni dostop. Andrea Santese. Vključuje tudi tehnike TeamsEnum, orodje za štetje uporabnikov Teams, ki ga je raziskovalec iz Secure Systems Engineering GmbH pred tem izdal na GitHub.

Reid pravi, da TeamsPhisher deluje tako, da najprej našteje ciljnega uporabnika Teams in preveri, ali lahko uporabnik prejema zunanja sporočila. TeamsPhisher nato ustvari novo nit s ciljnim uporabnikom. Uporablja tehniko, ki omogoča, da sporočilo prispe v ciljno mapo »Prejeto« brez običajnega pozdravnega zaslona »Nekdo zunaj vaše organizacije vam je poslal sporočilo, ali ste prepričani, da si ga želite ogledati«, je dejal Reid. 

"Z novo nitjo, ustvarjeno med našim pošiljateljem in ciljem, bo določeno sporočilo poslano uporabniku skupaj s povezavo do priloge v Sharepointu," je opozoril. »Ko je to začetno sporočilo poslano, bo ustvarjena nit vidna v GUI pošiljatelja za Teams in z njo lahko po potrebi ročno komunicirate za vsak primer posebej.«

Microsoft did not immediately respond to a Dark Reading request seeking comment on whether the release of TeamsPhisher might have changed its stance on remediating the bug that JUMPSEC found. JUMPSEC itself has urged organizations using Microsoft Teams to review whether there is any business need for enabling communications between internal Teams users and external tenants. 

"Če trenutno ne uporabljate Teams za redno komunikacijo z zunanjimi najemniki, poostrite varnostne kontrole in v celoti odstranite možnost," je svetovalo podjetje.

• Distribucija vsebine in PR s pomočjo SEO. Okrepite se še danes.
• PlatoData.Network Vertical Generative Ai. Opolnomočite se. Dostopite tukaj.
• PlatoAiStream. Web3 Intelligence. Razširjeno znanje. Dostopite tukaj.
• PlatoESG. Avtomobili/EV, Ogljik, CleanTech, Energija, Okolje, sončna energija, Ravnanje z odpadki. Dostopite tukaj.
• BlockOffsets. Posodobitev okoljskega offset lastništva. Dostopite tukaj.
• vir: https://www.darkreading.com/perimeter/microsoft-teams-exploit-toll-autodeliver-malware