¿Dejaste entrar al soporte técnico en Teams? Enhorabuena: los hackers ya están en el corazón de la red

Una solicitud de soporte técnico corporativo puede parecer inofensiva hasta que el empleado cede por sí mismo el control del equipo a un desconocido. Microsoft reveló una campaña activa en la que atacantes contactan a las víctimas a través de Microsoft Teams, se hacen pasar por personal de TI y convierten una sesión remota en un acceso a sistemas clave de toda la organización.

Los atacantes escriben o llaman desde una cuenta externa y convencen al empleado de aceptar la solicitud de control de pantalla o de abrir Quick Assist y proporcionar el código de conexión. A veces añaden vishing a la conversación para que las instrucciones y los enlaces maliciosos no queden en el historial del chat. No se explota una vulnerabilidad de Teams: la víctima ignora por sí misma las advertencias sobre un interlocutor externo.

Tras obtener acceso, el operador ejecuta PowerShell, descarga desde un almacenamiento en la nube un archivo MSI malicioso haciéndolo pasar por una actualización y lo instala silenciosamente con msiexec. El paquete descarga una versión portátil oficial de Node.js y luego descifra y ejecuta un backdoor en JavaScript. Un componente firmado y las herramientas estándar de Windows ayudan a que la actividad maliciosa se mezcle con el funcionamiento habitual del sistema.

El backdoor se instala en el perfil del usuario con el nombre EdgeUpdate, se conecta con el servidor de control por HTTPS y recibe comandos en JavaScript. El operador recopila información sobre el equipo, los programas de protección y el entorno virtual, captura la pantalla periódicamente y luego examina las cuentas y los servidores Active Directory. DLL adicionales se ejecutan mediante la utilidad estándar rundll32.

Tras la exploración, los atacantes usan Windows Remote Management, o WinRM, para pasar a otros equipos a través del puerto 5985. Entre los objetivos Microsoft observó servidores de archivos, bases de datos, controladores de dominio y centros de certificación. Esta actividad crea condiciones para una toma de control amplia de la infraestructura, el robo de datos o el despliegue de ransomware; sin embargo, Microsoft no confirmó la toma completa de un dominio.

La empresa recomienda verificar las solicitudes inesperadas de soporte técnico a través de un canal interno conocido, limitar los contactos externos de Teams a dominios de confianza y permitir solamente herramientas de asistencia remota aprobadas. También se aconseja a los administradores restringir WinRM a las estaciones de administración, supervisar conexiones sospechosas y cambiar las contraseñas accesibles desde el equipo comprometido.