Una nueva técnica ha permitido a los atacantes extraer tokens de autenticación cifrados en Microsoft Teams en Windows, lo que facilita el acceso no autorizado a chats, correos electrónicos y archivos de SharePoint.
Extracción de tokens mediante API de protección de datos
Según una publicación de RandoriSec, Brahim El Fikhi explica cómo los tokens almacenados en una base de datos de cookies similar a Chromium pueden descifrarse utilizando la API de protección de datos de Windows (DPAPI). Esta investigación se basa también en estudios previos realizados por Vectra y Mr.D0x.
Microsoft Teams incorpora una ventana del navegador mediante el proceso msedgewebview2.exe, un componente basado en Chromium que maneja el inicio de sesión a través de los servicios en línea de Microsoft. Durante la autenticación, este proceso escribe cookies en una base de datos SQLite similar a los navegadores web tradicionales.
Estas cookies contienen tokens de acceso que otorgan permisos para acceder a conversaciones de Teams, funciones de Skype e incluso a la API de Microsoft Graph. Sin embargo, los navegadores Chromium modernos han reforzado sus defensas mediante un servicio IElevator basado en COM que requiere ejecución dentro del proceso del navegador o acceso elevado de administrador para descifrar los valores de las cookies.
Acceso a cookies en Teams
Por el contrario, Teams se basa en la API DPAPI más simple vinculada a la clave maestra del usuario actual. Esto hace que sus cookies sean comparativamente más fáciles de detectar una vez obtenida la clave de cifrado.
Un obstáculo clave fue el comportamiento en tiempo de ejecución de Teams, ya que bloquea su archivo de base de datos de cookies mientras se ejecuta, impidiendo lecturas o copias directas. Para abordar este problema, los investigadores de TierZone se inspiraron en la herramienta Cookie-Monster-BOF, que extrae cookies de procesos activos del navegador.
La nueva herramienta Teams-Cookies-BOF reutiliza esta lógica para la aplicación de mensajería. En lugar de finalizar Teams, se ejecuta directamente dentro del proceso ms-teams.exe, identificando procesos de vista web secundarios que mantienen identificadores abiertos para el archivo de cookies.
La herramienta adapta la técnica de explotación del navegador existente para evitar los mecanismos de bloqueo de archivos de Teams, lo que genera nuevas preocupaciones sobre la seguridad de los terminales en entornos empresariales. Duplica estos identificadores, lee el contenido del archivo sobre la marcha y descifra los valores utilizando la clave maestra DPAPI del usuario.
Impacto y amenazas
Los investigadores han detectado técnicas que permiten a atacantes acceder a información sensible mediante la exfiltración de cookies y tokens de acceso, gracias a la explotación del proceso ms-teams.exe y la manipulación avanzada de handles de sistema.
La explotación consiste en la inyección de código dentro del proceso legítimo de Microsoft Teams, permitiendo el acceso directo a archivos de cookies protegidos. A través del uso del Data Protection API (DPAPI) de Windows, los atacantes descifran y extraen estos datos, obteniendo así los tokens que permiten el acceso no autorizado a recursos y conversaciones de Teams.
El principal impacto es el secuestro de sesiones de usuario, poniendo en peligro la información empresarial, credenciales e integridad de las comunicaciones. Además, la sigilosidad del ataque favorece movimientos laterales y la posibilidad de que actores maliciosos permanezcan largos periodos de tiempo dentro del entorno corporativo.
Implicancias para los defensores
El mecanismo de descifrado refleja exactamente Cookie-Monning-BOF, empleando AES-256-GCM después de extraer el nonce y la carga útil cifrada de los valores etiquetados «v10» en la base de datos.
Una vez obtenidos, los tokens permiten llamadas API para recuperar historiales de conversaciones, leer mensajes o enviar contenido de phishing en nombre de las víctimas, lo que aumenta los riesgos en el movimiento lateral o en campañas de ingeniería social.
Mitigaciones
Las mitigaciones incluyen monitorear «la muerte de ms-teams.exe» o patrones inusuales de ProcMon, aplicar el cifrado vinculado a la aplicación y preferir Teams basados en web para evitar el almacenamiento local.
Rotar tokens a través de políticas de ID de Entra y auditar los registros de API para detectar anomalías. A medida que las amenazas de Teams evolucionan, las reglas EDR compatibles con DPAPI son esenciales.
Se recomienda aumentar la monitorización de actividades sospechosas sobre procesos de Teams y accesos a DPAPI, así como revisar y limitar los privilegios de las cuentas. Es crucial mantener Teams y el sistema operativo actualizados, desplegar soluciones EDR con reglas que detecten manipulaciones de handles y sesiones, y realizar auditorías periódicas.