Arctic Wolf Labs onderzocht meer dan 400 incidenten waarbij aanvallers de externe chatfunctie van Microsoft Teams gebruikten om zich voor te doen als IT-support. Via Quick Assist en andere RMM-tools zijn ze soms binnen een kwartier binnen. Steeds vaker gebruiken ze daarbij .top-domeinen.
Het patroon dat Arctic Wolf aantreft is opvallend consistent: dezelfde wegwerp-tenants, dezelfde displaynamen als “IT Support (Internal)” en dezelfde remote-accesstools. Een kwetsbaarheid in Teams is er niet. Aanvallers misbruiken external access (federation), een functie die standaard aanstaat. Daardoor kan elke Teams-gebruiker in een andere Microsoft 365-tenant medewerkers vinden, aanschrijven en bellen, zolang beide tenants dat toestaan.
Vaak begint het met mail bombing. De inbox van het slachtoffer loopt binnen enkele minuten vol met honderden nieuwsbrieven en abonnementsbevestigingen. Kort daarna meldt zich via Teams een behulpzame “IT-medewerker” die het probleem wil oplossen. Een probleem dat de aanvaller zelf heeft veroorzaakt.
Van onmicrosoft.com naar .top
In 30 tot 40 procent van de gevallen gebruikten de aanvallers een standaard *.onmicrosoft.com-domein. Zo’n domein vraagt geen verificatie en staat binnen minuten klaar. Tenantnamen als helpdeskteam365 of networkadmin916 moeten vertrouwen wekken. Toch verschuift het beeld richting betaalde domeinen. Zo’n 50 procent daarvan eindigt op .top, ongeveer 40 procent op .com.
Ook de displaynamen worden verfijnd. Aanvallers plakken “(Internal)” achter hun naam, terwijl Teams de afzender tegelijk als External markeert. Anderen voegen een voornaam toe (“IT Service Desk (Matthew)”) of zelfs de bedrijfsnaam van het doelwit. Interessant detail: in ruim honderd gevallen bevatten de namen emoji’s, zoals een schild of gereedschap. Volgens Arctic Wolf kan dat wijzen op het gebruik van AI.
Binnen een kwartier aan het stuur
Het doel is meestal hands-on-keyboard-toegang via een legitieme RMM-tool. Quick Assist is favoriet: ingebouwd in Windows, gesigneerd door Microsoft en het slachtoffer hoeft alleen een zescijferige code voor te lezen. Voor persistentie volgen AnyDesk, Atera of ScreenConnect. Werkt een slachtoffer mee, dan draait de payload binnen 15 minuten. Links plakken de aanvallers bewust niet in de chat, want dan grijpt Safe Links in.
Arctic Wolf detecteert de aanvallen bij het ChatCreated-event, de eerste één-op-één-chat. “Onze alerts gaan het vaakst precies daar af, nog voordat de gebruiker iets heeft gedaan”, aldus het bedrijf.
Tip: ClickShare Hub: de missing link tussen BYOD en Microsoft Teams Room