Contexte de l'attaque

Le titre indique que des cybercriminels utilisent la plateforme de messagerie Microsoft Teams pour mener des escroqueries d’assistance informatique. Ces campagnes ciblent les utilisateurs d’entreprise qui reçoivent un message prétendant provenir du service support interne. Le vecteur choisi exploite la confiance accordée aux communications internes et la visibilité de Teams dans les environnements de travail modernes.

Mécanisme d'hameçonnage via Teams

Les attaquants créent un compte factice ou compromettent un compte légitime, puis envoient une invitation à une réunion ou un message direct. Le texte du message incite la victime à cliquer sur un lien ou à télécharger un fichier joint sous prétexte de vérifier un problème technique. Le lien redirige souvent vers une page d’authentification factice qui collecte les identifiants Office 365, ou vers un serveur de commande et contrôle (C2) hébergeant le chargeur du malware.

Bonjour, nous avons détecté une anomalie sur votre compte Teams.
Veuillez cliquer ici pour lancer le diagnostic : https://secure‑support.example.com/login

Le message utilise le vocabulaire du support technique (« diagnostic », « anomalie ») et un URL qui imite le domaine officiel, augmentant le taux de clic.

Déploiement du malware et du ransomware

Une fois les informations d’identification récupérées, l’acteur malveillant accède à l’environnement Office 365 et télécharge un exécutable via le partage de fichiers Teams ou OneDrive. Le chargeur s’exécute avec les privilèges de l’utilisateur, installe un cheval de Troie capable de télécharger un ransomware supplémentaire. Le ransomware chiffre les fichiers locaux et les partages réseau, puis affiche une note de rançon contenant les instructions de paiement.

Le processus repose sur la capacité de Teams à transférer des fichiers binaires sans inspection approfondie, ce qui constitue un point d’exposition technique. L’utilisation de comptes légitimes masque le trafic réseau, rendant la détection par les systèmes de prévention d’intrusion (IPS) plus difficile.

Contremesures et limites

Les organisations doivent renforcer l’authentification multifacteur (MFA) pour tous les comptes Office 365 afin de réduire l’impact d’un vol d’identifiants. La mise en place de politiques de partage de fichiers restrictives dans Teams limite la capacité d’un compte compromis à diffuser des exécutables. L’inspection du trafic Teams via un proxy TLS capable de déchiffrer les flux HTTPS permet d’identifier les URL de phishing avant qu’elles n’atteignent l’utilisateur.

Enfin, la sensibilisation des employés aux signes d’une escroquerie d’assistance reste indispensable. Les messages légitimes du support interne sont généralement précédés d’un ticket interne ou d’une communication officielle via le système de ticketing de l’entreprise, ce qui constitue un critère de vérification simple.