Microsoft cảnh báo mối đe dọa phần mềm độc hại mới phát tán qua Teams

Microsoft vừa đưa ra cảnh báo an ninh mạng khẩn liên quan đến việc một tác nhân đe dọa đang sử dụng các cuộc trò chuyện trên Microsoft Teams để phát tán phần mềm độc hại. Tác nhân đe dọa hiện được theo dõi với mã định danh Storm-0324, và Microsoft cho biết nhóm hacker này đã hoạt động từ năm 2016.

Trong một bài đăng trên blog, nhóm nghiên cứu bảo mật nội bộ Microsoft tiết lộ rằng vào tháng 7 vừa qua, “Storm-0324 đã được quan sát với hành vi phân phối tải trọng độc hại bằng cách sử dụng một công cụ nguồn mở để gửi mồi lừa đảo thông qua các cuộc trò chuyện trên Microsoft Teams". Đi sau vào điều tra, Microsoft nhận thấy nhóm chủ yếu phân phối phần mềm độc hại JSSLoader kể từ năm 2019. Phần mềm độc hại này sau đó có thể được sử dụng bởi một nhóm tác nhân đe dọa khác có tên Sangria Tempest nhằm lây nhiễm file ransomware vào PC mục tiêu:

Chuỗi phân phối của Storm-0324 bắt đầu bằng các email lừa đảo tham chiếu đến hóa đơn hoặc khoản thanh toán, và chứa liên kết đến trang SharePoint lưu trữ file nén ZIP. Microsoft hiện đang tập trung xác định hành vi lạm dụng, gỡ bỏ hoạt động độc hại và triển khai các biện pháp bảo vệ chủ động mới nhằm ngăn cản những kẻ độc hại sử dụng dịch vụ trên các nền tảng của công ty.

Microsoft cho biết thêm rằng những email độc hại này có thể trông giống như tài liệu thực, phổ biến như DocuSign, Quickbooks... Trong một số trường hợp, chúng cũng yêu cầu nạn nhân nhập mã bảo mật hoặc mật khẩu y như thật để, khiến nạn nhân mất cảnh giác. Công ty cho biết họ đã thực hiện một số biện pháp để ngăn chặn các loại phần mềm độc hại này bị phát tán trong các cuộc trò chuyện trên Teams. Chẳng hạn như đình chỉ các tài khoản đã được xác nhận là có tham gia vào hoạt động gian lận.

Microsoft cũng liệt kê một số phương thức mà các công ty hiện đang sử dụng Teams có thể triển khai để phòng ngừa, hạn chế rủi ro ảnh hưởng bởi cuộc tấn công lừa đảo mới này. Bao gồm việc chỉ cho phép các thiết bị đã biết kết nối với Teams, đồng thời hướng dẫn nhân viên về cách thực hiện các cuộc tấn công lừa đảo và phần mềm độc hại cũng như xem xét các hoạt động đăng nhập đáng ngờ.