La notizia in sintesi
- Microsoft segnala una truffa di falso supporto tecnico tramite Teams.
- Gli aggressori puntano al controllo remoto dei computer aziendali.
- L’obiettivo è l’accesso persistente alle infrastrutture interne.
- Formazione, multifattore e limiti a WinRM riducono il rischio.
Riassunto generato con AI AGENTICA di Datamoney.ch
Microsoft avverte sulle truffe dei falsi tecnici Teams
Microsoft ha pubblicato sul proprio blog di sicurezza un avviso su una campagna che sfrutta Teams per indurre i dipendenti aziendali a consegnare il controllo del computer a falsi tecnici interni. Il fenomeno, descritto dopo l’osservazione di attacchi basati su strumenti di assistenza remota legittimi, colpisce le organizzazioni attraverso contatti diretti sulla piattaforma di collaborazione.
Gli aggressori invocano aggiornamenti urgenti, filtri antispam o verifiche dell’account per rendere credibile la richiesta. L’obiettivo non è soltanto sottrarre credenziali: ottenere un accesso autenticato e interattivo alla rete interna, fino ai sistemi centrali. L’avviso chiarisce perché la verifica dell’identità del chiamante sia il primo presidio contro la compromissione.
Accesso remoto, persistenza e movimento nella rete aziendale
Il meccanismo parte da una richiesta di controllo remoto accettata dalla vittima: un passaggio che trasforma software ordinari di teleassistenza in veicolo d’intrusione. Casi simili erano già emersi nel 2024 con Quick Assist e altri strumenti legittimi, ma la campagna descritta da Microsoft punta alla permanenza e al movimento laterale.
Le innovazioni piu' interessanti di tecnologia e scienza, dritte nella tua inbox.
Secondo il resoconto firmato da Manuel De Pandis, l’operatore raggiunge server di autenticazione e può orientarsi verso controller di dominio e autorità di certificazione. Dopo l’accesso, un comando PowerShell installa un pacchetto MSI collocato in uno spazio cloud dell’aggressore. Il pacchetto contiene la versione ufficiale portatile di Node.js, estratta nel profilo utente: l’uso di componenti leciti riduce la visibilità dell’operazione.
La persistenza viene affidata a un collegamento denominato EdgeUpdate, inserito nell’avvio di Windows o nel registro, per simulare i normali aggiornamenti di Edge. Il codice comunica in HTTPS con un server remoto a intervalli irregolari e riceve istruzioni JavaScript. Gli analisti hanno rilevato ricognizione del dominio mediante ADSI, WMI e Active Directory, caricamento di DLL con rundll32 e spostamenti attraverso WinRM.
La differenza rispetto al phishing è nell’intervento umano: l’attaccante conserva sessione autenticata e agisce sull’infrastruttura.
Le misure indicate per limitare l’attacco
Le misure indicate da Microsoft combinano formazione e controlli: l’identità di chi chiede assistenza va verificata solo tramite canali interni convalidati. Sul piano tecnico, l’azienda raccomanda l’autenticazione multifattore con Microsoft Entra Conditional Access, limiti a WinRM e un inventario aggiornato degli strumenti remoti autorizzati.
Teams include inoltre una protezione contro l’usurpazione del marchio, distribuita da febbraio nel canale anticipato. L’avviso resta visibile durante la chiamata, è attivo per impostazione predefinita e non richiede configurazioni degli amministratori.
FAQ
Quali pretesti usano i falsi tecnici su Teams?
Aggiornamenti di sicurezza, reinstallazione di filtri antispam e verifiche dell’account sono le motivazioni indicate per ottenere il controllo remoto del computer.
Quale software legittimo viene sfruttato?
Quick Assist e altri strumenti di teleassistenza legittimi possono essere abusati dopo che il dipendente accetta l’accesso richiesto dal contatto fraudolento.
Dove viene nascosto il meccanismo di persistenza?
Il collegamento EdgeUpdate viene collocato nella cartella di avvio di Windows oppure nel registro, mimetizzandosi tra gli aggiornamenti di Edge.
Quale protezione Teams è già disponibile?
La funzione anti-usurpazione del marchio mostra un avviso per l’intera conversazione; è attiva automaticamente e non richiede interventi degli amministratori.
Quali fonti sono state analizzate?
La Redazione, con supervisione umana, ha rielaborato un’analisi accurata delle fonti ufficiali e qualificate, incluse Ansa.it, Adnkronos.it, Asca.it e Agi.it.
Articolo pubblicato con l’ausilio del sistema di redazione AI di Datamoney, e supervisione umana finale.Non perdere gli errori di prezzo clamorosi su Amazon!
Iscriviti al canale Telegram e ricevili in tempo reale
Guide agli acquisti su Amazon
Le notizie più lette su Assodigitale
✨ Classifica generata dalla Agentic AI (REDAZIONE AI) di Datamoney.ch
