// PUNTO INFORMATICO — CYBERSECURITY
Truffa del falso supporto tecnico su Teams: l’allarme di Microsoft
Su Teams, un hacker può contattare un dipendente spacciandosi per un tecnico del supporto informatico interno, invocando un falso aggiornamento di sicurezza, un filtro anti-spam da reinstallare o una verifica dell’account.
Se la vittima accetta di cedere il controllo del computer, come già osservato nel 2024 tramite Quick Assist o uno strumento di teleassistenza legittimo, l’intruso ottiene l’accesso alla postazione, per poi avanzare verso il resto della rete aziendale, fino ai server che autenticano l’intero personale. Sul suo blog dedicato alla sicurezza, Microsoft ha appena lanciato l’allarme alle aziende che utilizzano Teams.
Dopo aver ottenuto l’accesso, l’hacker avvia, tramite un comando PowerShell, l’installazione silenziosa di un pacchetto MSI ospitato su uno spazio di archiviazione cloud a suo nome. Questo pacchetto contiene la versione ufficiale e portatile di Node.js, l’ambiente di esecuzione JavaScript, che l’attaccante estrae poi in una cartella del profilo utente. Sotto un collegamento denominato “EdgeUpdate”, inserito nella cartella di avvio di Windows o nel registro di sistema, il cybercriminale fa eseguire il codice per imitare i normali processi di aggiornamento di Microsoft Edge.
Con questo codice, l’hacker mantiene un contatto HTTPS con un server remoto, secondo un ritmo di interrogazione volutamente irregolare, e invia istruzioni scritte in JavaScript. Gli analisti di Microsoft hanno osservato, a partire da questo punto d’appoggio, una mappatura del dominio Windows tramite i protocolli ADSI e WMI, seguita da interrogazioni verso l’annuario Active Directory.
Tramite il comando rundll32, l’hacker carica anche librerie DLL, prima di spostarsi, attraverso il protocollo di amministrazione remota WinRM, verso i controller di dominio e le autorità di certificazione dell’azienda.
Microsoft ha spiegato, nel suo post, che questa modalità operativa fornisce a un operatore esterno un accesso interattivo e autenticato all’infrastruttura interna. Secondo l’azienda, a differenza del phishing tradizionale, spesso limitato al furto di una password, qui un operatore umano interviene in ogni fase, con le mani sulla tastiera.
Microsoft raccomanda alle aziende di formare i propri team affinché verifichino l’identità di qualsiasi interlocutore del supporto attraverso un canale convalidato internamente, piuttosto che tramite il contatto in entrata su Teams. Per limitare i rischi inoltre, è consigliabile imporre l’autenticazione multifattore tramite Microsoft Entra Conditional Access, di limitare il protocollo WinRM alle sole postazioni di amministrazione autorizzate e di mantenere aggiornato l’elenco degli strumenti di teleassistenza utilizzati in azienda.
Dal canto suo, Microsoft ha integrato su Teams una funzione di protezione contro l’usurpazione di marchio, pensata per bloccare sul nascere questo tipo di approccio fin dal primo contatto, e ha iniziato a distribuirla a febbraio alle aziende iscritte al canale di distribuzione anticipata. Prima di rispondere a una chiamata sospetta, il dipendente vede ora comparire un avviso, visibile per tutta la durata della chiamata. Questa allerta è attiva per impostazione predefinita, senza alcuna configurazione da parte dell’amministrazione.