Black Basta ransomware выдает себя за ИТ-поддержку в Microsoft Teams для взлома сетей

Операция BlackBasta, связанная с вымогательством, перенесла свои атаки социальной инженерии в Microsoft Teams, выдавая себя за корпоративную службу поддержки, которая связывается с сотрудниками, чтобы помочь им справиться с продолжающейся спам-атакой.

Black Basta - это операция по распространению вымогательского ПО, действующая с апреля 2022 года и ответственная за сотни атак на корпорации по всему миру.

После того как киберпреступный синдикат Conti закрылся в июне 2022 года после серии нелицеприятных утечек данных, он разделился на несколько группировок, одной из которых, как считается, и стала Black Basta.
Члены Black Basta взламывают сети с помощью различных методов, включая уязвимости, партнерство с ботнетами вредоносных программ и социальную инженерию.

В мае компании Rapid7 и ReliaQuest выпустили предупреждения о новой кампании социальной инженерии Black Basta, в ходе которой на почтовые ящики сотрудников были отправлены тысячи писем. Эти письма не были вредоносными по своей природе, в основном состояли из информационных рассылок, подтверждений регистрации и проверки электронной почты, но они быстро переполняли почтовый ящик пользователя.

Затем злоумышленники звонили перегруженному сотруднику, представляясь службой технической поддержки компании, чтобы помочь ему решить проблему со спамом.

Во время этой голосовой атаки социальной инженерии злоумышленники обманом заставляли сотрудника установить инструмент удаленной поддержки AnyDesk или предоставить удаленный доступ к его Windows-устройствам, запустив инструмент удаленного управления и обмена экранами Windows Quick Assist.

После этого злоумышленники запускают скрипт, который устанавливает различные полезные программы, такие как ScreenConnect, NetSupport Manager и Cobalt Strike, обеспечивающие постоянный удаленный доступ к корпоративному устройству пользователя.
Получив доступ к корпоративной сети, аффилированные лица Black Basta распространяют его на другие устройства, повышая привилегии, похищая данные и, в конечном счете, устанавливая программу-шифровальщик выкупа.

Переход на Microsoft Teams

В новом отчете компании ReliaQuest исследователи заметили, что в октябре филиалы Black Basta изменили свою тактику и теперь используют Microsoft Teams.
Как и в предыдущей атаке, участники угрозы сначала заваливают почтовый ящик сотрудника письмами.

Однако вместо того, чтобы звонить им, злоумышленники теперь связываются с сотрудниками через Microsoft Teams как внешние пользователи, где они выдают себя за сотрудников корпоративной службы технической поддержки, связываясь с ними, чтобы помочь им решить проблему со спамом.

Учетные записи создаются под арендаторами Entra ID, которые называются так, чтобы казаться службой поддержки, например:

securityadminhelper.onmicrosoft[.]com
supportserviceadmin.onmicrosoft[.]com
supportadministrator.onmicrosoft[.]com
cybersecurityadmin.onmicrosoft[.]com

«Эти внешние пользователи устанавливали в своих профилях «DisplayName», чтобы заставить целевого пользователя думать, что он общается с учетной записью службы поддержки», - поясняется в новом отчете ReliaQuest.

«Почти во всех случаях, которые мы наблюдали, отображаемое имя включало строку «Help Desk», часто окруженную пробельными символами, что, скорее всего, центрирует имя в чате. Мы также заметили, что, как правило, целевые пользователи добавлялись в чат «OneOnOne»».

По словам представителей ReliaQuest, они также видели, как субъекты угроз отправляли в чатах QR-коды, которые вели на домены типа qr-s1[.]com. Однако они не смогли определить, для чего используются эти QR-коды.

Исследователи утверждают, что внешние пользователи Microsoft Teams происходят из России, а данные о часовом поясе регулярно указываются московские.

Цель - в очередной раз обманом заставить пользователя установить AnyDesk или запустить Quick Assist, чтобы получить удаленный доступ к его устройствам.

После подключения угрожающие лица устанавливали полезную нагрузку под названиями «AntispamAccount.exe», «AntispamUpdate.exe» и «AntispamConnectUS.exe».

Другие исследователи отметили AntispamConnectUS.exe на VirusTotal как SystemBC, вредоносную программу-прокси, которую Black Basta использовала в прошлом.

В конечном итоге устанавливается Cobalt Strike, предоставляя полный доступ к скомпрометированному устройству, чтобы стать трамплином для дальнейшего проникновения в сеть.

ReliaQuest предлагает организациям ограничить общение с внешними пользователями в Microsoft Teams и, если требуется, разрешить его только из доверенных доменов. Также следует включить ведение журнала, особенно для события ChatCreated, чтобы обнаружить подозрительные чаты.