O ataque começa com o comprometimento prévio de uma conta externa ou através da criação de domínios que imitam entidades legítimas. Uma vez dentro do ecossistema de comunicações, os atacantes enviam mensagens diretas a funcionários, fazendo-se passar por membros do suporte técnico ou gestores de projeto. Aproveitando a interface familiar do Teams, os hackers partilham ficheiros maliciosos - muitas vezes disfarçados de documentos PDF, atualizações de software ou relatórios de produtividade - que, ao serem abertos, executam um script de acesso remoto.
Diferente do e-mail, onde os filtros de segurança são altamente maduros, o Microsoft Teams é frequentemente visto pelos utilizadores como uma "zona segura", o que resulta numa taxa de sucesso muito superior para os atacantes. Além disso, muitas organizações não aplicam as mesmas políticas de inspeção de ficheiros ou restrições de domínios externos no Teams que aplicam nos seus servidores de e-mail, criando uma brecha crítica na infraestrutura de segurança.
Os investigadores detetaram que o malware mais distribuído nestas campanhas é o DarkGate, um cavalo de Troia (Trojan) extremamente versátil que permite a exfiltração de dados, a instalação de keyloggers e, em última análise, serve de porta de entrada para ataques de ransomware em larga escala. Através do DarkGate, os atacantes conseguem persistência no sistema e podem mover-se lateralmente pela rede corporativa, comprometendo servidores e bases de dados confidenciais.
Como mitigar o risco
Para proteger as organizações deste novo vetor de ameaça, os especialistas recomendam várias medidas urgentes:
- Restrição de acesso externo: Configurar o Microsoft Teams para permitir apenas comunicações com domínios externos fidedignos e validados.
- Autenticação Multifator (MFA): Garantir que todas as contas, especialmente as de convidados e parceiros externos, tenham MFA ativa para evitar o uso de credenciais roubadas.
- Formação de utilizadores: Educar os funcionários para que desconfiem de ficheiros não solicitados recebidos via chat, mesmo que a interface pareça legítima.
- Inspeção de ficheiros: Implementar soluções de segurança que analisem anexos partilhados em plataformas de colaboração em tempo real.
Este ataque sublinha a necessidade de uma abordagem de "Confiança Zero" (Zero Trust) que se estenda a todas as ferramentas de produtividade, e não apenas aos canais de comunicação tradicionais.
