// CLUBIC — HARDWARE & GADGET
Microsoft alerte sur une nouvelle arnaque au faux support informatique via Teams
Microsoft a alerté sur une campagne d’usurpation du support informatique sur Teams. Sur ces conversations, des attaquants se font passer pour du personnel technique, obtiennent un accès à distance, puis installent un implant capable de progresser jusqu’aux serveurs internes d’une entreprise. L’éditeur recommande de vérifier tout contact de support par un canal identifié au préalable.
Sur Teams, un attaquant peut contacter un salarié en se faisant passer pour un technicien du support informatique interne, en invoquant une fausse mise à jour de sécurité, un filtre anti-spam à réinstaller ou une vérification de compte. Si la victime accepte de céder la main sur son ordinateur, comme on l’a déjà vu en 2024 par Quick Assist ou par un outil de télémaintenance légitime, l’intrus obtient un accès interactif au poste, puis progresse vers le reste du réseau de l’entreprise, jusqu’aux serveurs qui authentifient l’ensemble du personnel. Sur son blog de sécurité, Microsoft vient d’alerter les entreprises qui utilisent Teams.
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Depuis cette prise en main, l’attaquant lance, par une commande PowerShell, l’installation silencieuse d’un paquet MSI hébergé sur un espace de stockage cloud à son nom. Ce paquet contient la version officielle et portable de Node.js, l’environnement d’exécution JavaScript, que l'attaquant extrait ensuite dans un dossier du profil utilisateur. Sous un raccourci « EdgeUpdate », inscrit dans le dossier de démarrage de Windows ou dans le registre, l'attaquant fait démarrer ce code pour imiter les processus habituels de mise à jour de Microsoft Edge.
Avec ce code, l'attaquant maintient un contact HTTPS avec un serveur distant, selon un rythme d’interrogation volontairement irrégulier, et envoie des instructions écrites en JavaScript. Les analystes de Microsoft ont observé, à partir de ce point d’ancrage, une cartographie du domaine Windows par les protocoles ADSI et WMI, puis des requêtes vers l’annuaire Active Directory.
Par la commande rundll32, l'attaquant charge aussi des bibliothèques DLL, avant de rebondir, via le protocole d’administration à distance WinRM, vers les contrôleurs de domaine et les autorités de certification de l'’entreprise.
Microsoft a écrit, dans son billet, que ce mode opératoire « donne à un opérateur externe un accès interactif et authentifié à l'infrastructure interne ». Selon l’entreprise, à la différence du hameçonnage ordinaire, souvent limité au vol d'un mot de passe, un opérateur humain intervient ici à chaque étape, clavier en main.
Microsoft recommande aux entreprises de former leurs équipes à vérifier l’identité de tout interlocuteur du support par un canal validé en interne, plutôt que par le contact entrant sur Teams. Pour limiter les risques, l’éditeur conseille aussi d’imposer l’authentification multifacteur par Microsoft Entra Conditional Access, de restreindre le protocole WinRM aux seuls postes d’administration autorisés et de tenir à jour la liste des outils de télémaintenance utilisés dans l’entreprise. Microsoft complète ces mesures par des règles de réduction de la surface d’attaque et par la protection cloud de Microsoft Defender.
Dans Teams, Microsoft a intégré une fonction de protection contre l’usurpation de marque, conçue pour couper court à ce type d’approche dès la prise de contact, et a commencé à la déployer en février auprès des entreprises inscrites au canal de diffusion anticipée. Avant de décrocher un appel suspect, le salarié voit désormais s’afficher un avertissement, visible pendant toute la durée de l’appel. Cette alerte est active par défaut, sans réglage à effectuer côté administration. L'éditeur invite malgré tout les équipes de support à se préparer, car les utilisateurs multiplient souvent les questions dans les premiers temps.
Selon Cybermalveillance.gouv.fr, il y a eu plus de 13 000 consultations de la plateforme sur ce ty