Steeds meer cyberaanvallen vinden plaats via de chatapplicatie Microsoft Teams. Enkele maanden geleden ontdekte men een kwetsbaarheid in de chatfunctie, waardoor bedrijven en organisaties vatbaar zijn voor phishingaanvallen. En dit is nog maar het begin.
Daarvoor waarschuwt Eye Security, een Europees cybersecuritydienstverlener en -verzekeraar.
Criminelen versturen valse en misleidende berichten
Beveiligingsspecialisten van Eye Security ontdekten in juni een kwetsbaarheid in Microsoft Teams waarmee het mogelijk was om controle te krijgen over een legitieme .onmicrosoft.com-domeinnaam. Hackers of cybercriminelen registreren zich als een bedrijfsmedewerker, vaak een hooggeplaatste werknemer zoals de CEO. Via dit account versturen ze misleidende berichten naar collega’s.
Eye Security heeft berichten voorbij zien komen als ‘er staat een grote reorganisatie te wachten’ of ‘een grote ontslagronde is in aantocht’. Met dergelijke koppen proberen ze medewerkers angst aan te jagen, waardoor de kans groot is dat ze de bijgevoegde bijlage, vaak een zip-bestand, in het bericht openen. Wat ze niet weten is dat deze bijlage geïnfecteerd is met kwaadaardige software als Darkgate Loader, ransomware of andere malware.
Malware wordt toegevoegd aan de map Opstarten
Gedupeerden die de bijlage downloaden en openen, zien verschillende bestanden die zich voordoen als .pdf. In werkelijkheid zijn het LNK-bestanden die kwaadaardige code uitvoeren. Een LNK-bestand of Linkbestand is een snelkoppeling in Windows die toegang biedt tot bestanden, mappen of programma’s door hun locatie op te slaan met een bijbehorend pictogram.
Zodra de gebruiker het schadelijke bestand heeft geopend, wordt er aanvullende schadelijke software gedownload via een ingebouwd commando. Vervolgens wordt een legitiem bestand samen met een kwaadaardig scriptbestand gedownload, dat zichzelf vervolgens uitvoert. De malware kopieert zich naar een willekeurige naam in C:\ProgramData en voegt een snelkoppeling met een willekeurige naam toe aan de map Opstarten. Daardoor wordt de malafide software iedere keer opgestart als iemand de computer aanzet.
Kerkhofs: ‘Dit vormt een serieuze bedreiging voor Europese ondernemingen’
Microsoft Teams telt wereldwijd 280 miljoen gebruikers. Zij lopen allemaal het risico om de dupe te worden van deze kwetsbaarheid. Piet Kerkhofs, oprichter en CTO van Eye Security ,waarschuwt dat dit waarschijnlijk pas het begin is. “Gezien de populariteit van Teams en de opkomst van criminele groepen die deze methode inzetten, voorzien we een scherpe stijging in ransomware en datalekken de komende maanden. Dit vormt een serieuze bedreiging voor Europese ondernemingen.”
Kerkhofs wijst erop dat bedrijven en organisaties maatregelen kunnen nemen om de risico’s te beperken. “Naast technische ingrepen, zoals het blokkeren en melden van kwaadaardige domeinen, het inzetten van Microsoft tools zoals Purview en het aanpassen van het Teams-beleid, is het trainen van werknemers cruciaal. Bewustwording van deze bedreigingen is essentieel.”
Tot slot adviseert de topman van Eye Security om te investeren in een goede cyberverzekering als ‘financieel vangnet’.
