Una nueva herramienta denominada TeamsPhisher ha sido revelada, permitiendo a los atacantes aprovechar una vulnerabilidad recientemente descubierta en Microsoft Teams para entregar automáticamente archivos maliciosos a usuarios de la plataforma dentro de una organización.
Funcionamiento y características
La herramienta opera en entornos donde las organizaciones permiten la comunicación entre sus usuarios internos de Teams y usuarios externos, o inquilinos. A diferencia de los métodos tradicionales como el phishing o la ingeniería social, TeamsPhisher permite a los atacantes entregar cargas útiles directamente en la bandeja de entrada del destinatario.
Según el desarrollador Alex Reid, miembro del Equipo Rojo de la Marina de los EE.UU., la herramienta requiere un archivo adjunto, un mensaje y una lista de usuarios objetivo. «Cargará el archivo adjunto al SharePoint del remitente y luego iterará a través de la lista de objetivos», explicó.
Exploit de vulnerabilidad
TeamsPhisher incorpora una técnica descubierta recientemente por investigadores de JUMPSEC Labs, que permite eludir una función de seguridad en Microsoft Teams. Aunque la plataforma permite la comunicación entre usuarios de diferentes organizaciones, bloquea el intercambio de archivos entre ellos.
Los investigadores Max Corbridge y Tom Ellson encontraron una forma relativamente sencilla de superar esta restricción utilizando la técnica de referencia directa de objetos inseguros (IDOR). Esta técnica permite a los atacantes manipular parámetros como claves de base de datos o nombres de archivo para interactuar con aplicaciones web.
Corbridge y Ellson descubrieron que al cambiar la ID del destinatario interno y externo en una solicitud POST, podían explotar el problema de IDOR en Teams. Al enviar un payload de esta manera, el mensaje se alojaba en el dominio de SharePoint del remitente y llegaba a la bandeja de entrada del destinatario.
Técnicas integradas
Además de las técnicas desarrolladas por JUMPSEC Labs, TeamsPhisher incorpora investigaciones previas realizadas por Andrea Santese sobre el uso de Microsoft Teams para el acceso inicial. También incluye la herramienta TeamsEnum, que permite enumerar usuarios de Teams.
Según Reid, el funcionamiento de TeamsPhisher comienza con la enumeración de un usuario objetivo y la verificación de si puede recibir mensajes externos. Luego se crea un nuevo hilo con el destinatario, permitiendo que el mensaje llegue a su bandeja de entrada sin mostrar la pantalla de inicio habitual.
«Con el nuevo hilo creado entre nuestro remitente y el destino, el mensaje especificado se enviará al usuario junto con un enlace al archivo adjunto en SharePoint», señaló Reid. «Una vez que se haya enviado este mensaje inicial, el hilo creado será visible en la GUI de Teams del remitente y se podrá interactuar manualmente si es necesario».
Recomendaciones
JUMPSEC ha instado a las organizaciones que utilizan Microsoft Teams a revisar si existe una necesidad empresarial para permitir la comunicación entre usuarios internos de Teams y inquilinos externos. Si no se requiere esta funcionalidad, se recomienda reforzar los controles de seguridad y eliminarla por completo.