Nowa kampania phishingowa Operation BlueDash wykorzystuje fałszywe wiadomości podszywające się pod Microsoft Teams. Ofiara klika w link z rzekomo bezpiecznym dokumentem, a hakerzy instalują dwa różne narzędzia do zdalnego zarządzania (RMM). Nawet jeśli jedno z nich zostanie wykryte i usunięte, drugie pozostaje aktywne – zapewniając stały dostęp do przejętego komputera.
Jak działa phishing na Microsoft Teams?
Atak zaczyna się od e-maila, który wygląda jak powiadomienie z Microsoft Teams. W treści znajduje się link do „bezpiecznego dokumentu” – na przykład rzekomej umowy lub raportu. Kliknięcie przenosi ofiarę przez zainfekowaną infrastrukturę, gdzie następuje instalacja narzędzi do zdalnego monitorowania i zarządzania (RMM). To legalne programy, np. AnyDesk, TeamViewer czy LogMeIn, które są używane przez administratorów IT, ale w rękach hakerów stają się groźne. Badacze z GBHackers ostrzegają, że kampania jest aktywna i może dotrzeć do użytkowników na całym świecie.
Dlaczego hakerzy mają dwa narzędzia?
W kampanii Operation BlueDash atakujący instalują nie jedno, a dwa niezależne narzędzia RMM. Chodzi o redundancję – jeśli jedno z narzędzi zostanie wykryte przez program antywirusowy lub sam użytkownik je usunie, drugie nadal działa. Dzięki temu hakerzy zachowują zdalny dostęp do komputera, mogą kraść dane, instalować kolejne szkodliwe oprogramowanie lub wykorzystywać sprzęt do dalszych ataków. To taktyka znana z zaawansowanych grup APT, ale teraz trafia do szerszego grona cyberprzestępców. Atakujący wykorzystują fakt, że narzędzia RMM są często ignorowane przez programy antywirusowe, ponieważ są legalne, co sprawia, że infekcja może pozostawać niewykryta przez długi czas.
Co to oznacza dla zwykłego użytkownika?
Jeśli pracujesz zdalnie lub używasz Microsoft Teams w firmie, jesteś potencjalnym celem. Phishing jest bardzo wiarygodny – wiadomość może zawierać logo Teams i nazwę twojego przełożonego. Wystarczy jeden klik, by twój komputer został przejęty. Nawet jeśli później zauważysz i usuniesz podejrzane oprogramowanie, drugie może pozostać ukryte. Atakujący mogą monitorować twoją aktywność, przechwytywać hasła, a nawet uruchomić kamerę i mikrofon. Dopiero gdy ofiara zauważy nietypową aktywność – np. wolną pracę komputera, dziwne procesy w menedżerze zadań – może zorientować się, że coś jest nie tak. W przypadku Operation BlueDash nawet wtedy czyszczenie systemu może nie wystarczyć.
Jak się bronić?
Po pierwsze, nie klikaj w linki w wiadomościach, które rzekomo pochodzą z Microsoft Teams, jeśli nie spodziewasz się takiego dokumentu. Zawsze weryfikuj u nadawcy przez inny kanał. Po drugie, regularnie sprawdzaj listę zainstalowanych programów i usuń te, których nie pamiętasz. Po trzecie, włącz uwierzytelnianie wieloskładnikowe (MFA) na swoim koncie Microsoft. Po czwarte, używaj oprogramowania antywirusowego, które wykrywa nieautoryzowane narzędzia RMM. W przypadku podejrzenia infekcji odłącz komputer od internetu i skontaktuj się z działem IT lub specjalistą. W skrajnych przypadkach konieczna może być reinstalacja systemu operacyjnego. Kampania Operation BlueDash to kolejny dowód na to, że cyberprzestępcy coraz sprytniej wykorzystują zaufanie do znanych aplikacji. Nawet jeśli usuniesz jedno narzędzie, nie możesz być pewien, że jesteś bezpieczny. Dlatego kluczowe jest zapobieganie – unikanie klikania w podejrzane linki i zachowanie czujności. Więcej szczegółów na temat tej kampanii można znaleźć w raporcie GBHackers.
