Se ha descubierto un nuevo método de phishing que aprovecha las vulnerabilidades presentes en la aplicación Microsoft Teams. El ataque permite a los atacantes hacerse pasar por usuarios miembros internos de una organización y enviar mensajes fraudulentos a otros usuarios.
Mecanismo del ataque
El método se basa en las protecciones del lado del cliente de la aplicación, que pueden ser explotadas para tratar a un usuario externo como interno. Para ello, basta con cambiar la ID en la solicitud POST de un mensaje.
Herramienta desarrollada
Alex Reid ha desarrollado una herramienta llamada «TeamsPhisher», basada en Python. La herramienta automatiza el proceso de ataque y combina conceptos de ataque de los investigadores de Jumpsec, técnicas desarrolladas por Andrea Santese y funciones de autenticación y asistencia de la herramienta «TeamsEnum» creada por Bastian Kanbach.
Se le proporcionan a la herramienta un adjunto, un mensaje y una lista de objetivos. La herramienta carga el adjunto en el Sharepoint del remitente y luego itera a través de la lista de objetivos.
Funcionamiento detallado
Antes de ejecutar el ataque, TeamsPhisher verifica que el usuario objetivo exista y tenga capacidad para recibir mensajes externos. Una vez verificado, la herramienta crea un nuevo hilo de conversación con el objetivo, enviándole un mensaje que incluye un enlace adjunto del Sharepoint.
Este hilo aparece en la interfaz de Teams del remitente, lo que permite una posible interacción manual por parte del usuario.
Requisitos y características
TeamsPhisher requiere que los usuarios tengan una cuenta comercial de Microsoft (se admite MFA) con una licencia válida de Teams y Sharepoint. La herramienta ofrece un «modo de vista previa» para verificar las listas de objetivos establecidas y revisar la apariencia de los mensajes desde la perspectiva del destinatario.
Incluye otras características y argumentos opcionales que pueden mejorar el éxito del ataque, como enviar enlaces de archivos seguros, especificar un retraso entre envíos de mensajes y generar un archivo de registro con los resultados.
Respuesta de Microsoft
Microsoft ha sido informado sobre el problema y ha comunicado a los investigadores de Jumpsec que no cumple con los requisitos para una solución inmediata. Según la empresa, este tipo de ataque se basa en ingeniería social, por lo que recomienda seguir buenas prácticas en línea.
Riesgos identificados
- Los actores de amenazas pueden aprovechar TeamsPhisher para entregar malware a organizaciones objetivo sin despertar sospechas.
Mitigaciones recomendadas
- Desactivar las comunicaciones con miembros externos si no es estrictamente necesario.
- Crea una lista de dominios confiables que limiten el riesgo de explotación.