Um membro da equipe de segurança da Marinha dos Estados Unidos publicou uma ferramenta chamada TeamsPhisher que aproveita uma questão de segurança não resolvida no Microsoft Teams para contornar as restrições para arquivos recebidos de usuários fora de uma organização-alvo, os chamados inquilinos externos.
A ferramenta explora um problema destacado no mês passado por Max Corbridge e Tom Ellson, da empresa de serviços de segurança baseada no Reino Unido, Jumpsec, que explicaram como um atacante poderia facilmente contornar as restrições de envio de arquivos do Microsoft Teams para entregar malware de uma conta externa.
Essa façanha é possível porque o aplicativo possui proteções do lado do cliente que podem ser enganadas ao tratar um usuário externo como interno apenas mudando o ID na solicitação POST de uma mensagem.
"TeamsPhisher" é uma ferramenta baseada em Python que fornece um ataque totalmente automatizado.
Ela integra a ideia de ataque dos pesquisadores da Jumpsec, técnicas desenvolvidas por Andrea Santese e funções de autenticação e auxiliares da ferramenta "TeamsEnum" de Bastian Kanbach.
"Dê ao TeamsPhisher um anexo, uma mensagem e uma lista de usuários-alvo do Teams.
Ele fará o upload do anexo no Sharepoint do remetente e, em seguida, passará pela lista de alvos", diz a descrição de Alex Reid, o desenvolvedor da ferramenta da equipe de segurança.
O TeamsPhisher primeiro verifica a existência do usuário-alvo e sua capacidade de receber mensagens externas, o que é um requisito para o ataque funcionar.
Em seguida, ele cria uma nova conversa com o alvo, envia uma mensagem com um link de anexo do Sharepoint.
A conversa aparece na interface do Teams do remetente para interação (potencial) manual.
O TeamsPhisher requer que os usuários tenham uma conta de negócios da Microsoft (MFA é suportado) com uma licença válida do Teams e Sharepoint, o que é comum para muitas empresas grandes.
A ferramenta também oferece um "modo de visualização" para ajudar os usuários a verificar as listas de alvos definidas e verificar a aparência das mensagens do ponto de vista do destinatário.
Outros recursos e argumentos opcionais no TeamsPhisher podem aprimorar o ataque.
Isso inclui o envio de links de arquivos seguros que só podem ser visualizados pelo destinatário pretendido, especificar um atraso entre as transmissões de mensagens para contornar a limitação de taxa e gravar as saídas em um arquivo de log.
A questão que o TeamsPhisher explora ainda está presente e a Microsoft informou aos pesquisadores da Jumpsec que ela não atendia ao requisito de reparo imediato.
O BleepingComputer também entrou em contato com a empresa no mês passado para obter um comentário sobre os planos de corrigir o problema, mas não recebeu uma resposta.
Reiteramos nosso pedido de comentário à Microsoft, mas não recebemos uma resposta até o momento da publicação.
Embora o TeamPhisher tenha sido criado para operações autorizadas da equipe de segurança, atores mal-intencionados também podem aproveitá-lo para entregar malware a organizações-alvo sem acionar alarmes.
Até que a Microsoft decida tomar medidas a respeito disso, as organizações são fortemente aconselhadas a desativar as comunicações com inquilinos externos, se não forem necessárias.
Elas também podem criar uma lista de permissões com domínios confiáveis, o que limitaria o risco de exploração.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...