- Er is een aankondiging gedaan over de cyberaanvallen op Microsoft Teams gericht op zakelijke gebruikers.
- Om toegang te krijgen tot het Teams-platform, heeft een aanvaller geldige inloggegevens nodig van een van de medewerkers van de getargete entiteit.
- Gebruikers moeten er daarom voor zorgen dat hun e-mailgegevens veilig worden bewaard.
In het verleden waren kwaadaardige e-mails een veelvoorkomende manier voor hackers om bedrijfsnetwerken te infecteren met malware. Tegenwoordig gebruiken steeds meer bedrijven samenwerkingstools zoals Microsoft Teams voor interne communicatie.
Bovendien worden deze tools tijdens de COVID-19-pandemie steeds meer door bedrijven gebruikt voor werken op afstand.
Nu hebben aanvallers het potentieel van deze tool (en andere) ingezien en gebruiken ze deze om malware te verspreiden. Omdat werknemers zelden verwachten dat ze via deze kanalen worden getarget, zijn ze meestal minder voorzichtig dan normaal, waardoor ze een gemakkelijk doelwit zijn.
In deze blogpost wordt beschreven hoe aanvallers misbruik maken van deze kwetsbaarheden en wat gebruikers kunnen doen om zichzelf en hun organisaties tegen dergelijke aanvallen te beschermen.
Hoe ze aanvallen
Microsoft Teams, een samenwerkingsplatform dat deel uitmaakt van de Microsoft 365 productfamilie, stelt gebruikers in staat audio- en videoconferenties te houden, in meerdere kanalen te chatten en bestanden te delen.
Veel bedrijven over de hele wereld hebben tijdens deze pandemie het gebruik van Microsoft Teams als de belangrijkste tool voor de samenwerking van hun werknemers op afstand geadopteerd.
Er zijn geen bekende kwetsbaarheden in de kanaalchat die kunnen worden misbruikt om malware in het systeem van een gebruiker te injecteren. Er is echter een bestaande methode die voor kwaadaardige doeleinden kan worden gebruikt.
Microsoft Teams staat het delen van bestanden toe zolang de bestandsgrootte niet groter is dan 100 MB. Een aanvaller kan elk bestand uploaden naar elk openbaar kanaal in Microsoft Teams en iedereen die toegang heeft tot het kanaal kan het downloaden.
Van een cyberbeveiliging Perspectief klinkt het als een goudmijn: vanuit elk teamkanaal heb je toegang tot alle gesprekken en informatie, inclusief gevoelige informatie of intellectueel eigendom.
Omdat Teams je toegang geeft tot alle gesprekken via verschillende kanalen die zeer gevoelige informatie of intellectueel eigendom kunnen bevatten. Het kan ook gevoelige bestanden bevatten die door zijn gebruikers worden gedeeld.
Maar financieel gemotiveerde cybercriminelen kunnen ook profiteren van Teams, omdat ze misschien kunnen pakken interessante gegevens binnen Teams, waardoor ze mogelijk meer fraude kunnen plegen, zoals het verkrijgen van creditcardgegevens bijvoorbeeld.
De aanvallers zouden beginnen met gerichte spear phishing-e-mails die kwaadaardige links bevatten. Als daar door leden van organisaties op wordt geklikt.
Wanneer een aanvaller toegang probeert te krijgen tot het enterprise resource planning-systeem van een bedrijf, is het enige dat nodig is voor toegang geldige inloggegevens voor een van de werknemers. Een gebruikelijke manier om dergelijke inloggegevens te verkrijgen, is door een phishing-campagne uit te voeren op gebruikers die zich in de doelorganisatie bevinden.
Zodra een aanvaller toegang heeft gekregen tot het e-mailaccount van een slachtoffer, kan hij inloggen via Microsoft Teams en vervolgens de functie gebruiken waarmee gebruikers documenten uit andere bronnen kunnen importeren.
De aanvaller kan vervolgens een HTML-document uploaden dat kwaadaardig JavaScript bevat en dit koppelen aan een ander document dat wordt uitgevoerd wanneer het wordt geopend door andere medewerkers die er toegang toe hebben.
Aanvallen op gebruikers kunnen ook worden uitgevoerd door geldige inloggegevens te kopen bij een initiële toegangsmakelaar of via social engineering.
Gebruikers geïnfecteerd via Teams
De aanvaller heeft direct toegang tot alle vertrouwelijke communicatiekanalen tussen medewerkers, klanten en partners. Daarnaast kunnen de aanvallers ook privéchats lezen en manipuleren.
De aanvallen komen in de vorm van kwaadaardige e-mails die een afbeelding van een factuurdocument bevatten. Deze afbeelding bevat een kwaadwillig vervaardigde hyperlink die onzichtbaar is voor het blote oog, maar actief is wanneer erop wordt geklikt.
Microsoft Teams heeft zo nu en dan duizenden aanvallen gezien. De aanvaller laat uitvoerbare kwaadaardige bestanden vallen in verschillende Teams-gesprekken. Deze bestanden zijn trojans en kunnen zeer schadelijk zijn voor computersystemen.
Zodra het bestand op uw computer is geïnstalleerd, kan de computer worden gekaapt om dingen te doen die u niet van plan was te doen.
We weten niet wat het uiteindelijke doel van de aanvallers is. We kunnen alleen vermoeden dat ze meer informatie willen krijgen over hun doelwit, of volledige toegang tot computers in het beoogde netwerk.
Deze kennis heeft hen mogelijk in staat gesteld om een of andere vorm van financiële fraude of cyberspionage te plegen.
Geen linkdetectie
Wat maakt Microsoft Teams kwetsbaar is dat de infrastructuur niet is gebouwd met veiligheid in het achterhoofd. Als zodanig heeft het geen detectiesysteem voor kwaadaardige links en heeft het alleen een gemeenschappelijke virusdetectie-engine.
Omdat gebruikers de neiging hebben om te vertrouwen op wat er op het platform van hun bedrijf staat, kunnen ze kwetsbaar zijn voor het delen van malware en geïnfecteerd raken.
Een verrassend niveau van vertrouwen zorgt ervoor dat gebruikers zich veilig voelen bij het gebruik van een nieuw platform. Gebruikers kunnen veel genereuzer zijn met hun gegevens dan ze gewoonlijk zouden zijn.
Aanvallers kunnen niet alleen mensen misleiden door infecterende bestanden of links in chatkanalen te plaatsen, maar ze kunnen ook privéberichten naar gebruikers sturen en hen misleiden met social engineering-vaardigheden.
De meeste gebruikers vinden het niet erg om de bestanden op hun harde schijven op te slaan en er antivirus- of bedreigingsdetectieproducten op uit te voeren voordat ze de bestanden openen.
Het aantal dagelijkse cyberaanvallen zal blijven toenemen naarmate meer organisaties bij dit soort activiteiten betrokken raken.
Beschermingsplan
Om te beginnen moeten gebruikers voorzorgsmaatregelen nemen om hun e-mailadressen, gebruikersnamen en wachtwoorden te beschermen.
Om de bedreiging van de teamstructuur aan te pakken, wordt u aangeraden;
- Schakel tweestapsverificatie in op de Microsoft-accounts die u voor Teams gebruikt.
- Als bestanden in de Teams-mappen worden neergezet, voegt u meer beveiliging toe aan die bestanden. Stuur hun hashes naar VirusTotal om er zeker van te zijn dat het geen kwaadaardige codes zijn.
- Voeg extra beveiliging toe voor links die in Teams worden gedeeld en zorg ervoor dat u gerenommeerde linkscontroleservices gebruikt.
- Zorg ervoor dat medewerkers zich bewust zijn van de risico's van het gebruik van communicatie- en deelplatforms.
Maakt uw organisatie gebruik van Microsoft-teams? Heeft iemand ervaring met cyberaanvallen op het platform? Deel uw mening in het opmerkingengedeelte.
