Cybersecurity – Rischi & Truffe – Microsoft TEAMS

1. Campagna di attacco tramite falso installer di Microsoft Teams

• Descrizione: Un sofisticato attacco di tipo malvertising ha utilizzato un falso installer di Microsoft Teams per diffondere il malware Oyster (noto anche come Broomstick o CleanUpLoader).
• Modalità: L’utente ha cercato “Microsoft Teams” su Bing ed è stato reindirizzato in 11 secondi a un sito malevolo (teams-install.icu) tramite un dominio (team.frywow.com) che simulava una pagina ufficiale.
• Conseguenze potenziali:
  • Accesso persistente al sistema compromesso.
  • Furto di dati.
  • Installazione di ulteriori malware.
  • Movimento laterale nella rete aziendale.
• Contromisure:
  • Microsoft Defender ASR (Attack Surface Reduction) ha bloccato la connessione al server C2 (nickbush24.com), neutralizzando l’attacco.
  • Consigliata: Implementazione di soluzioni di sicurezza basate sul comportamento, come ASR, e non solo su firme digitali.

2. Abuso di certificati digitali a breve durata

• Descrizione: Il malware era firmato digitalmente da entità apparentemente legittime (es. “KUTTANADAN CREATIONS INC.”) con certificati validi solo per 2 giorni.
• Obiettivo:
  • Bypassare i controlli antivirus basati su firme.
  • Ridurre il tempo utile per la revoca del certificato da parte dei vendor di sicurezza.
• Contromisure:
  • Monitoraggio attivo dei certificati digitali.
  • Revoca automatica e tempestiva di certificati sospetti.
  • Zero trust su certificati brevi e non verificabili.

3. Automazione e velocità dell’attacco

• Descrizione: L’intera sequenza, dal click al download del malware, è avvenuta in pochi secondi, dimostrando un alto livello di automazione.
• Conseguenze:
  • Difficoltà per i sistemi tradizionali nel rilevare e bloccare l’attacco in tempo.
• Contromisure:
  • Sistemi di rilevamento basati su comportamento e intelligenza artificiale.
  • Formazione degli utenti per riconoscere siti sospetti e anomalie nei download.

4. Spoofing di siti legittimi

• Descrizione: Il sito teams-install.icu imitava la pagina ufficiale di Microsoft Teams, ospitato su Cloudflare per mascherare la sua natura malevola.
• Conseguenze:
  • Inganno dell’utente.
  • Download inconsapevole di malware.
• Contromisure:
  • DNS filtering e protezione contro siti di phishing.
  • Controllo dei certificati SSL/TLS e verifica dell’autenticità dei domini.

Contromisure

1. Difesa contro il malvertising e falsi installer

Fonti: [Malwarebytes] 1, [Baramundi] 2, [ACN-CSIRT Italia] 3

Contromisure consigliate:

• Unified Endpoint Management (UEM): per gestire e proteggere tutti i dispositivi aziendali.
• Monitoraggio proattivo in tempo reale: per rilevare anomalie nei comportamenti degli utenti e nei download.
• Formazione continua dei dipendenti: per riconoscere siti sospetti e tecniche di ingegneria sociale.
• DNS filtering e blocco degli annunci sospetti: per impedire l’accesso a siti malevoli.
• Utilizzo di browser con protezione avanzata: come Microsoft Edge con SmartScreen o estensioni anti-malvertising.

2. Protezione contro certificati digitali brevi e abusati

Fonti: [Matrice Digitale] 4, [Keeper Security] 5, [Artlogo] 6

 Contromisure consigliate:

• Revoca automatica e tempestiva dei certificati sospetti.
• Monitoraggio continuo dei certificati in uso.
• Utilizzo di certificati EV (Extended Validation) più tracciabili e sicuri.
• Archiviazione sicura delle chiavi private per evitare furti o abusi.
• Autenticazione a più fattori (MFA) per firmare digitalmente.

3. Rilevamento e blocco dei siti di spoofing

Fonti: [SmartWorld] 7, [HTML.it] 8, [Microsoft Learn] 9

 Contromisure consigliate:

• Controllo manuale degli URL: digitare direttamente gli indirizzi ufficiali.
• Verifica del certificato SSL/TLS: controllare l’icona del lucchetto e il nome del server.
• Utilizzo di strumenti anti-spoofing: come Netcraft, ScamDoc, o estensioni per browser.
• Analisi dei contenuti e del design: diffidare di siti con offerte troppo allettanti o layout non coerenti.
• Intelligenza artificiale per rilevamento anomalie: utile per identificare siti clone e phishing avanzato.