Una llamada, 150 objetivos: Spring Ring convirtió Teams en un canal para ciberataques

Una llamada aparentemente rutinaria del «soporte técnico» en Microsoft Teams resultó ser la puerta de entrada a la red corporativa. En la campaña Spring Ring, los atacantes atacaron a más de 150 empleados de al menos 10 empresas de distintos sectores, intentando convencer a las víctimas de ejecutar herramientas de acceso remoto o programas maliciosos.

Los especialistas de Unit 42 de Palo Alto Networks observaron Spring Ring de enero a abril de 2026. Los atacantes creaban cuentas externas de Microsoft Teams y se hacían pasar por empleados del servicio interno de TI. Nombres como IT Help Desk, IT Assistance o Support Staff se complementaban con direcciones en dominios .onmicrosoft.com, parecidas a la infraestructura corporativa.

Tras crear el chat, el atacante pasaba rápidamente a una llamada de voz. Ese vishing permitía adaptar la conversación a la reacción del empleado y, poco a poco, convencer a la víctima para que realizara las acciones deseadas. Las conversaciones exitosas solían durar entre 10 y 15 minutos. Una cuenta falsa podía usarse contra cinco o seis empleados en tan solo unos minutos.

En la primera variante de ataque, el «técnico» pedía abrir la herramienta integrada Windows Quick Assist o instalar un programa de gestión remota de terceros. Tras obtener el control del equipo, los atacantes comprobaban al usuario y el entorno del dominio, y a continuación descargaban mediante PowerShell un troyano de acceso remoto ofuscado. El malware intentaba desactivar AMSI y comunicarse con el servidor de los operadores para obtener los componentes siguientes.

La segunda cadena fue notablemente más peligrosa. A la víctima se le enviaba un archivo cuyo nombre incluía el de la empresa y del propio empleado. Al ejecutarlo, el programa se instalaba en el sistema, lanzaba Microsoft Edge sin que se detectara y conectaba una extensión del navegador. Después, los atacantes escaneaban la red interna a través de SMB y pasaban a realizar NTLM Relay.

Para avanzar más se empleó PetitPotam. La herramienta intentaba obligar al controlador de dominio a realizar la autenticación NTLM por sí mismo contra un sistema controlado por el atacante. Si tenía éxito, los delincuentes podían acercarse a obtener privilegios a nivel de dominio. Unit 42 informó que el intento de toma del dominio en el incidente observado pudo detenerse.

Los investigadores no encontraron una vulnerabilidad en Microsoft Teams que fuera explotada por Spring Ring. La campaña aprovechó la confianza de los empleados en una plataforma conocida y la posibilidad de comunicarse con usuarios externos. Microsoft permite a los administradores restringir los chats externos mediante políticas corporativas.

Según la telemetría de Palo Alto Networks, de enero a abril de 2026 las plataformas de colaboración representaron el 42% de todas las alertas de phishing de Cortex. En los cuatro meses anteriores la proporción fue del 30%. Spring Ring demuestra que, para una intrusión seria, los atacantes ya no siempre necesitan una vulnerabilidad de software: a veces basta presentarse con credibilidad como personal de TI y esperar a que el empleado abra el acceso por sí mismo.