Attackers Pose as IT Support on Microsoft Teams, Abuse AD CS to Steal Company Data

Un nuevo método de ataque está afectando a empresas mediante la suplantación de personal de soporte técnico en Microsoft Teams. Los atacantes contactan a los empleados por chat o llamada, fingiendo ser del área de sistemas, para convencerlos de que utilicen la herramienta 'Quick Assist' (una utilidad de Windows para asistencia remota) y les entreguen el código de conexión.

Una vez que obtienen el control del computador, los delincuentes aprovechan configuraciones inseguras en los Servicios de Certificados de Active Directory (AD CS). Según reportes de Microsoft, esto les permite obtener certificados de inicio de sesión para cuentas con altos privilegios, incluyendo controladores de dominio, lo que les da acceso total a la red de la empresa.

En uno de los casos investigados, los atacantes lograron copiar datos de la compañía hacia un servidor externo. El ataque no se debe a un fallo de software en Teams, sino a la manipulación de las personas y a una configuración deficiente de los certificados de seguridad, que permite a un usuario con pocos permisos solicitar certificados que lo hagan pasar por un administrador.

Los investigadores advierten que estos certificados maliciosos pueden seguir funcionando incluso si se cambia la contraseña del usuario o se formatea el equipo afectado, lo que dificulta la expulsión de los atacantes de la red.

Qué significa para una pyme colombiana y cucuteña: Si su personal recibe llamadas o mensajes de 'soporte técnico' por Teams pidiendo control remoto, debe desconfiar de inmediato. Para proteger su empresa, asegúrese de que su encargado de sistemas revise que las plantillas de certificados de Active Directory no permitan que cualquier usuario solicite permisos de administrador. Además, limite el uso de herramientas de asistencia remota como Quick Assist solo al personal autorizado y verifique siempre la identidad de quien llama por un canal interno conocido antes de dar acceso a sus equipos.