🔍 Contexte

Publié le 26 octobre 2026 par Arctic Wolf Labs (Shubham Dubey), ce rapport documente une campagne récurrente d’ingénierie sociale exploitant la fonctionnalité de chat externe Microsoft Teams (federation/external access), activée par défaut dans Microsoft 365. L’analyse porte sur plus de 400 incidents observés dans des environnements clients.

🎯 Mécanisme d’attaque

Les attaquants créent des tenants Microsoft 365 jetables (30 à 40 % utilisent des domaines *.onmicrosoft.com gratuits) ou des domaines payants (environ 50 % en .top) pour établir une identité Teams externe. La chaîne d’attaque typique est :

  1. Mail bombing : inondation de la boîte mail de la victime avec des centaines de confirmations d’abonnement pour créer l’urgence et noyer les alertes de sécurité
  2. Contact Teams externe : un faux support IT contacte la victime via chat 1:1 (événement ChatCreated)
  3. Vishing : appel vocal via Teams pour convaincre la victime d’installer un outil RMM
  4. Installation RMM : Quick Assist (le plus fréquent), AnyDesk, ScreenConnect, TeamViewer, Atera, Zoho Assist, NetSupport, LogMeIn
  5. Exécution de payload : en moins de 15 minutes après engagement de la victime

🕵️ Techniques d’usurpation d’identité

  • Noms d’affichage incluant (Internal) pour tromper sur l’origine du message
  • Prénoms réalistes : “IT Service Desk – Liam”, “IT Support (Scott McGhee)”
  • Variantes régionales : “Supporte TI” (français/espagnol)
  • Emojis dans les noms (🛡, 🛠, ✅) — potentiellement générés par IA
  • Inclusion du domaine ou nom de l’organisation cible dans le nom d’affichage

🔗 Chaîne d’infection notable

Un cas récent documente une chaîne potentiellement inédite :

  • Commande PowerShell exécutée par la victime (parent process : explorer.exe)
  • Téléchargement d’un MSI depuis Azure Blob Storage contenant cleaner.ps1 et archive6.zip
  • cleaner.ps1 : loader obfusqué avec tableau hexadécimal, déchiffrement AES avec clé/IV codées en dur, exécution via ScriptBlock
  • Extraction de pythonw.exe et de l’implant ss.py depuis archive6.zip
  • L’implant effectue des requêtes LDAP vers Active Directory (via adsisearcher) pour énumérer utilisateurs et machines
  • Exfiltration vers des serveurs C2 sélectionnés aléatoirement depuis une liste de domaines

🏗️ Infrastructure observée

  • Tenants jetables : supportedge33.onmicrosoft.com, helpdeskteam365.onmicrosoft.com, itcoreportal.onmicrosoft.com, etc.
  • Domaines .top pour payload/C2 : update-software.top, getsysmonitor.top, techrelay.top, etc.
  • Domaines d’usurpation .com : helpdesk-support-us-ny.com, helpdesk-call.com, etc.
  • Domaines multi-niveaux répétés : kilan.com.pl, scapini.com.br, ggc.com.ph
  • Certains domaines redirigent vers Microsoft ou l’organisation cible via DNS pour paraître légitimes

🔗 Liens avec des campagnes connues

Cette technique a été documentée dans les campagnes Black Basta (Storm-1811), Cactus, 3AM, Chaos (STAC4749) et GoGRPC. Arctic Wolf corrèle également des détections simultanées de Kerberoasting et GoldenPAC lors de certains incidents.

📄 Type d’article

Rapport de recherche CTI publié par Arctic Wolf Labs, visant à documenter une campagne active, partager des IOCs et des TTPs MITRE ATT&CK, et informer les défenseurs sur les opportunités de détection.

🧠 TTPs et IOCs détectés

Acteurs de menace

TTP

  • T1583.001 — Acquire Infrastructure: Domains (Resource Development)
  • T1585.003 — Establish Accounts: Cloud Accounts (Resource Development)
  • T1585.002 — Establish Accounts: Email Accounts (Resource Development)
  • T1566.003 — Phishing: Spearphishing via Service (Initial Access)
  • T1566.004 — Phishing: Spearphishing Voice (Initial Access)
  • T1199 — Trusted Relationship (Initial Access)
  • T1656 — Impersonation (Defense Evasion)
  • T1204.002 — User Execution: Malicious File (Execution)
  • T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
  • T1036 — Masquerading (Defense Evasion)
  • T1219 — Remote Access Software (Command and Control)
  • T1105 — Ingress Tool Transfer (Command and Control)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 26 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • Quick Assist (tool)
  • AnyDesk (tool)
  • ScreenConnect (tool)
  • TeamViewer (tool)
  • Atera (tool)
  • Zoho Assist (tool)
  • NetSupport (tool)
  • LogMeIn (tool)
  • QakBot (other)
  • DarkGate (loader)
  • Cobalt Strike (framework)
  • GoGRPC (backdoor)
  • ss.py (backdoor)

🟢 Indice de vérification factuelle : 75/100 (haute)

  • ✅ arcticwolf.com — source reconnue (liste interne) (20pts)
  • ✅ 26445 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 61 IOCs (IPs/domaines/CVEs) (10pts)
  • ⬜ 0/3 IOCs confirmés externellement (0pts)
  • ✅ 12 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : Storm-1811, Black Basta, Cactus (5pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://arcticwolf.com/resources/blog/threat-actors-abuse-microsoft-teams-external-chat-for-initial-access/