Un grupo de ciberdelincuentes ha estado atacando empresas utilizando herramientas de Microsoft, como Teams, OneDrive, SharePoint y Quick Assist. Los ataques se llevan a cabo mediante técnicas de phishing con correos electrónicos falsos que imitan mensajes oficiales.
Acceso remoto a sistemas internos
El ataque contra una empresa designada como Org C inició en agosto de 2024 y culminó en septiembre. Durante el ataque, los ciberdelincuentes usaron Quick Assist para obtener acceso remoto a sistemas internos.
Los ciberdelincuentes enviaron mensajes falsos que imitaban comunicaciones del equipo de IT para lograr el acceso. Microsoft Teams se utilizó para phishing y hacer que empleados descarguen una herramienta de gestión remota.
Distribución de malware
Quick Assist permite al atacante obtener control remoto a través de un mensaje de Microsoft Teams. SharePoint aloja archivos maliciosos y permite compartir enlaces con otras organizaciones.
El malware distribuido incluye componentes como LiteManager y un archivo ZIP denominado 'Client_v8.16L.zip', alojado en SharePoint. Se descargó otro archivo ZIP llamado 'Client.zip' que incluye malware Java (JAR) y su entorno de ejecución (JDK).
Comunicación con el atacante
El malware se conecta a una cuenta de OneDrive del atacante utilizando credenciales codificadas de Azure AD. El malware actúa como un sistema de control remoto (C2) para recibir comandos PowerShell a través de la API Microsoft Graph.
Se detectó acceso malicioso a la API de Microsoft Graph, posiblemente utilizado para comunicación entre el malware y el atacante.