Los piratas informáticos utilizan el relé de Microsoft Teams como arma para ocultar el tráfico de ransomware

Los ciberdelincuentes abusan cada vez más de servicios confiables en la nube para evadir los mecanismos de detección, y una campaña recientemente descubierta demuestra cómo la infraestructura de Microsoft Teams puede utilizarse para ocultar tráfico malicioso. Según el equipo Threat Hunter de Symantec, un nuevo troyano de acceso remoto (RAT) desarrollado en Go, denominado Backdoor.TURN, aprovecha los servidores de retransmisión TURN de Microsoft Teams para disfrazar las comunicaciones de comando y control (C2) como si fueran actividad empresarial legítima.

La campaña está vinculada a un ataque de ransomware DragonForce dirigido contra una importante empresa de servicios de Estados Unidos. Según informó Symantec, en lugar de comunicarse directamente con infraestructura controlada por los atacantes, el malware enruta el tráfico a través de los propios servidores de Microsoft, haciendo que las conexiones parezcan tráfico saliente legítimo asociado a Microsoft Teams. Backdoor.TURN funciona solicitando un token de visitante anónimo a los servicios de identidad de Microsoft respaldados por Skype. Los atacantes utilizan Microsoft Teams como una herramienta para ocultar sus actividades. Como señalaron los investigadores de Symantec, el malware emplea este token para autenticarse en la infraestructura de Teams y establecer una sesión de retransmisión mediante servidores TURN.

No obstante, Symantec destacó que este es el primer caso conocido en el mundo real en el que la infraestructura de retransmisión TURN de Microsoft Teams se utiliza de esta forma. La publicación "Los atacantes utilizan la retransmisión de Microsoft Teams para ocultar tráfico relacionado con ransomware" apareció por primera vez en Cyber Security News.

Consultar publicación original ↗