קודם מגיעות המיילים. מאות אישורי הרשמה לניוזלטרים נכנסים לתיבה בתוך דקות, והעובד שמנסה למצוא בה הודעה אמיתית לא מצליח. ואז, כשהבלבול בשיאו, נפתח צ'אט ב-Microsoft Teams מחשבון שנקרא "IT Support (Internal)" ומציע לעזור לסדר את זה.

מה קרה

חברת האבטחה Arctic Wolf פרסמה ב-26 באוקטובר ניתוח של מאות אירועים שבהם תוקפים השתמשו ביכולת של Teams לקבל צ'אט מגורם מחוץ לארגון (במקום אחד בדוח מופיע גם המספר 400 אירועים ומעלה). הדפוס חוזר על עצמו: התוקף פותח ארגון חדש ב-Microsoft 365, מקבל ממיקרוסופט כתובת ברירת מחדל שמסתיימת ב-onmicrosoft.com ולא דורשת שום אימות, ובוחר לארגון שם שנשמע כמו מחשוב. helpdeskteam365, itcoreportal, itadmin922. לפי Arctic Wolf כך נראו בין 30 ל-40 אחוז מהמקרים שנבדקו.

השם שמוצג בצ'אט הוא החלק שעושה את העבודה. "IT Service Desk", לפעמים עם שם פרטי ידידותי, לפעמים עם המילה (Internal) בסוף, ובמקרים החדשים יותר גם עם שם החברה המותקפת בתוכו. אחרי ההודעה מגיעה שיחת טלפון, ובה "הטכנאי" מבקש מהעובד לפתוח את Quick Assist, כלי העזרה מרחוק שמותקן בתוך Windows, או להתקין AnyDesk, TeamViewer או ScreenConnect. Quick Assist היה הנפוץ מכולם. את הקישור לקובץ הם בדרך כלל לא מדביקים בצ'אט, כי Teams סורק קישורים, אלא מגיעים לכתובת בעצמם אחרי שכבר קיבלו את המסך.

מכאן זה מפסיק להיות תרגיל של שכנוע. Arctic Wolf תיארה מקרה שבו ירדה חבילת התקנה דרך PowerShell, ממנה נטען רכיב מעורפל ואחריו שתל בפייתון שסרק את מערכת ניהול המשתמשים של הארגון ושלח את התוצאות לשרתי התוקפים. בחלק מהמקרים הותקן כלי שליטה מרחוק שני כגיבוי, ובסוף הוצפנו הקבצים. החברה מקשרת את הפעילות לכמה קמפיינים של כופרה, בהם Chaos, שחברת Sophos עוקבת אחריו תחת הכינוי STAC4749.

למה זה חשוב לכם

Teams הוא כלי העבודה הסטנדרטי בחלק גדול מהארגונים בישראל, והאפשרות לקבל הודעה ממישהו מחוץ לארגון דלוקה אצל רבים כברירת מחדל. יש תווית שמסמנת משתמש חיצוני, אבל כשהשם שמעליה הוא "IT Service Desk" וההקשר הוא תיבת מייל שהתפוצצה לפני חמש דקות, אף אחד לא קורא אותה. שימו לב למה שלא נדרש כאן: אף חולשה בתוכנה, אף עדכון חסר. מחשב מעודכן לגמרי לא עוזר לעובד שאישר בעצמו שליטה מרחוק. מיקרוסופט הודיעה בשבוע שעבר ש-Teams יקבל בנובמבר זיהוי פישינג שבודק את ההקשר של ההודעה ולא רק את הקישורים שבתוכה, כך שגם היא רואה מאיפה מגיעה הבעיה.

מה עושים?

אל תאשרו שליטה מרחוק לאף אחד בפנייה שלא יזמתם, גם אם הוא מציג את עצמו כתמיכה הטכנית של הארגון שלכם.

רוצים לבדוק אם הפנייה אמיתית? סגרו את הצ'אט והתקשרו למספר התמיכה שמופיע באתר הארגון או באינטראנט, ולא למספר שהפונה נתן לכם.

אם התיבה מתמלאת מאות מיילים אוטומטיים בתוך דקות, זו לא תקלה. דווחו למחשוב מיד, כי בדרך כלל זו ההקדמה.

למנהלי מערכות: הגבילו את הצ'אט החיצוני ב-Teams לרשימת דומיינים מאושרים, צמצמו את Quick Assist להרשאות מחשוב בלבד, וחסמו כלי שליטה מרחוק שלא הארגון התקין.

התקיפה הזאת לא מחפשת חולשה בתוכנה. היא מחפשת עובד שרק רוצה שהתיבה שלו תחזור לעבוד.