Er Microsoft Teams en direkte trojansk hest som leverer skadelig programvare til ansatte?

29. juni 2023 – Standardkonfigurasjoner i Microsoft Teams tillater levering av skadelig programvare og omgår sikkerhetskontroller for levering av nyttelast

Forskerne Max Corbridge (@CorbridgeMax) og Tom Ellson (@tde_sec) fra JUMPSEC Labs' Red Team oppdaget en måte å utnytte Microsoft Teams External Tenants-funksjonen. Ved å bruke denne funksjonen kan de snike skadelig programvare inn i filer som sendes direkte til en organisasjons ansatte, samtidig som de omgår nesten all moderne anti-phishing-beskyttelse. Dette blogginnlegget inneholder detaljene.

«Denne sårbarheten påvirker alle organisasjoner som bruker Teams i standardkonfigurasjonen », skrev Corbridge i innlegget. « Som sådan har den et enormt potensial for rekkevidde og kan utnyttes av trusselaktører til å omgå mange tradisjonelle sikkerhetskontroller for levering av nyttelast. »

Introduksjon:

Det er stadig vanskeligere å introdusere skadelig programvare i målorganisasjoner på grunn av de forbedrede sikkerhetstiltakene som stopper tradisjonelle nyttelasttyper (.exe-filer og Office-makroer). Phishing, en vanlig metode for levering av nyttelast, overvåkes nøye og sikres i disse dager. Dette gjør det svært vanskelig for trusselaktører å nå sluttbrukerenheter.

Ulike sikkerhetskontroller som e-postsikkerhet, IP-blokkeringslister, domeneomdømme, inspeksjon av e-postinnhold og URL-filtrering må omgås for at en phishing-kampanje skal kunne levere skadelig programvare til et måls innboks. I lys av disse hindringene søker trusselaktører alternative veier for levering av nyttelast. En slik vei som har blitt oversett frem til nå, er Microsoft Teams External Tenants. Med Microsoft Teams så bredt tatt i bruk (inkludert 91 % av Fortune 100-selskapene), lar standardkonfigurasjonen eksterne brukere kommunisere direkte med dine ansatte. Dette skaper en ny mulighet for sosial manipulering og levering av nyttelast av skadelig programvare.

Standardsikkerhet i Microsoft Teams:

I standardkonfigurasjonen tillater Microsoft Teams eksterne leietakere å kommunisere med dine ansatte. Muligheten til å sende dem skadevarefiler på denne måten er spesielt risikabelt gitt at mange sikkerhetskontroller ved e-postgatewayer, brannmurer og anti-phishing-tjenester kan omgås på denne måten. Hva bør du gjøre?

Hvis bedriften din ikke trenger å kommunisere med eksterne leietakere, kan denne funksjonen deaktiveres ved å gå til Microsoft Teams Admin Center > Ekstern tilgang og deaktivere kommunikasjon med eksterne leietakere.

Hvis bedriften din kommuniserer med eksterne enheter, må disse enhetene legges til i en tillatelsesliste, og alle andre settes til «Blokkert». Prosessen med å gi tilgang til nettverket må gjennomgås av IT- og endringsadministrasjonen, godkjennes manuelt og legges til i tillatelseslistene i Teams-konfigurasjonen. Ethvert annet alternativ representerer en for stor risiko for et vellykket skadelig angrep på dine ansatte.

kilder:

JumpSec Labs – IDOR i Microsoft Teams tillater eksterne leietakere å introdusere skadelig programvare

Mørklesning – Microsoft Teams-angrep hopper over til phishing for å levere skadelig programvare direkte

Sikre bedriften din med CyberHoot i dag!!!

Registrer deg nå