Les équipes dans le look : la nouvelle vague d'attaques qui fusionne l'ingénierie sociale et le cloud pour exfilter les données

Un nouvel acteur de la menace identifié comme UNC6692 a montré une tendance inquiétante: convergence de l'ingénierie sociale grâce à des plateformes collaboratives et abus systématique des services cloud pour distribuer des données de logiciels malveillants et d'exfilter. Au lieu de se limiter aux courriels malveillants traditionnels, les attaquants combinent des campagnes de « pompage de l'email » avec des invitations Microsoft Teams supplantantant le support interne, pour gagner la confiance de la victime et lui demander d'exécuter ce qui semble être une solution légitime.

Le plus pertinent du point de vue tactique est que le vecteur d'entrée ne nécessite pas toujours des vulnérabilités techniques complexes; il repose sur l'urgence et la confiance de l'entreprise pour que la victime installe des outils légitimes ou des extensions de navigateur qui sont ensuite corrompus pour créer la persistance et les tunnels chiffrés pour contrôler les serveurs. L'utilisation de comptes externes Teams comme premier point de contact et la livraison de composants à partir de seaux dans les services publics de cloud tendent à échapper aux filtres de réputation traditionnels parce que le trafic provient de domaines fiables.

L'écosystème d'outils observé dans ces intrusions est généralement modulaire : Composants JavaScript qui agissent comme passerelle, extensions qui restent actives dans le navigateur et binaires portables qui établissent des tunnels ou exécutent des commandes à distance. Cette architecture facilite la collecte d'identifications sur des pages frauduleuses, le déploiement de portes arrières persistantes et la création de passerelles entre le réseau d'affaires et l'infrastructure de commande et de contrôle externe.

Les implications pour la cyberdéfense sont claires : des outils collaboratifs comme Microsoft Teams cessent d'être des "canaux de communication" et deviennent des surfaces d'attaque de premier ordre. Les protections centrées uniquement sur le courrier ne sont plus suffisantes; les contrôles doivent être intégrés dans la couche de collaboration, dans la gestion des extensions et dans les politiques d'accès aux services cloud.

Du point de vue opérationnel, cela nécessite un examen des flux de vérification du support technique: établir des canaux d'authentification d'identité pour toute demande sensible, exiger des vérifications hors bande et normatiser que le personnel n'exécute pas d'outils ou accepte des invitations sans validation préalable. La protection spéciale des comptes de haut niveau et des comptes exécutifs devrait être une priorité à la fois pour leur fréquence et pour l'impact potentiel s'ils sont compromis.

En ce qui concerne les mesures techniques, il convient de renforcer les politiques de gestion des navigateurs afin de bloquer l'installation arbitraire d'extensions et d'utiliser des listes blanches de certificats et d'extensions approuvés; de limiter ou de contrôler l'installation des services d'assistance à distance (Quick Assist, Supreme, etc.) au moyen de politiques d'évaluation et de catalogue d'applications approuvés; et d'appliquer des contrôles d'accès conditionnels qui nécessitent des dispositifs gérés et une authentification multifactorielle pour les actions administratives et l'accès à distance. Microsoft offre de la documentation et des contrôles pour gérer les équipes et leur sécurité qui devraient être examinés: https: / / learn.microsoft.com / microsoftteams /.

Lors de la détection, l'équipement de sécurité devrait surveiller des indicateurs moins évidents : exécution de scripts AutoHotkey ou Python portables à partir d'emplacements inhabituels, processus qui exposent les ports HTTP locaux (p. ex. 8000-8002), utilisation d'outils légitimes pour retourner la mémoire (LSASS) ou transférer des fichiers, et mouvements qui impliquent le tunneling WebSocket ou des connexions persistantes aux seaux S3. L'intégration de la télémétrie EDR avec la collaboration et les enregistrements de proxy Web facilite les corrélations qui sont nécessaires aujourd'hui pour identifier des chaînes d'attaque complètes.

La gouvernance est également essentielle : établir des procédures claires pour signaler les invitations et les messages externes, simuler les scénarios de remplacement des services d'assistance dans les exercices de table et les campagnes d'hameçonnage pour les cadres supérieurs, et s'assurer qu'il existe un moyen rapide et vérifié pour quelqu'un de l'équipe informatique d'utiliser les incidents sans recourir à des actions dangereuses. La culture de "l'acceptation de l'aide chaude" doit être transformée en un processus vérifié et vérifiable.

Une autre leçon pratique est le risque que les attaquants utilisent une infrastructure légitime pour cacher leurs artefacts. Le simple blocage des domaines malveillants ne suffira pas si l'acteur héberge des charges utiles et s'infiltre dans les services publics. Il convient donc de mettre en œuvre la détection, la signature et la validation de l'intégrité des composants critiques et de vérifier régulièrement l'accès aux ressources en nuage dans le cadre de la réponse aux incidents.

Si votre organisation ne l'a pas encore fait, il est recommandé d'examiner les politiques d'accès externe sur les plateformes collaboratives, de forcer le MFA et les conditions d'accès sur les comptes privilégiés, d'appliquer des listes blanches d'applications et d'extensions, de permettre la protection des références sur les paramètres et de mettre en place des alertes pour les activités anormales dans les comptes exécutifs. Les fournisseurs de sécurité recommandent également de traiter les invitations et les demandes de soutien des canaux externes avec la même rigueur que les courriels suspects : validation et, le cas échéant, blocage préventif.

Pour ceux qui veulent approfondir les mesures et les cas similaires, il convient d'examiner l'analyse des incidents et les guides d'intervention des spécialistes de la menace et des fabricants des plates-formes touchées; des références utiles incluent les publications de Mandiant sur les combattants de la menace et la documentation de Microsoft sur la sécurité dans les équipes. https: / / www.mandiant.com et le blog technique de Cato Networks sur les attaques d'outils collaboratifs offrent un contexte pratique aux défenseurs qui doivent adapter les contrôles à ce type de tactique : https: / / www.catonetworks.com / blog /.

En bref, la menace décrite par l'UNS6692 confirme que les adversaires perfectionnent la combinaison de l'ingénierie sociale et de l'infrastructure légitime pour surmonter les défenses traditionnelles. La réponse doit être holistique : technique, organisationnelle et culturelle, la mise à jour des contrôles sur les plateformes collaboratives, le resserrement des politiques d'installation et d'accès et la formation des personnes à ne pas être le maillon faible de la chaîne de sécurité.