Su Microsoft Teams si diffonde una nuova truffa del falso supporto informatico, pensata per convincere un dipendente a cedere il controllo del computer. L’inganno parte spesso da un messaggio o da una chiamata apparentemente legittima, con l’obiettivo di far credere alla vittima di avere davanti un tecnico interno alle prese con un urgente problema di sicurezza.
Secondo Microsoft, il rischio non riguarda soltanto il singolo dispositivo. Se l’utente concede l’accesso alla postazione, l’attaccante può infatti usare quel primo punto di ingresso per muoversi nella rete aziendale, fino a raggiungere sistemi più sensibili come server e controller di dominio. A preoccupare è soprattutto il fatto che questa tecnica combina social engineering e strumenti reali di amministrazione, rendendo l’attacco più credibile e più difficile da individuare.
Microsoft Teams e la truffa del falso supporto
Lo schema osservato dagli analisti di Microsoft è simile a quello già visto in passato con altre soluzioni di assistenza remota, ma oggi sfrutta il contesto di Teams per risultare ancora più convincente. L’hacker si presenta come personale del supporto, invoca un presunto aggiornamento di sicurezza, un controllo dell’account o la necessità di reinstallare un filtro anti-spam. Se la vittima accetta di collaborare, l’intruso può avviare una catena di azioni tecniche che parte da un semplice accesso iniziale e culmina con la persistenza sul sistema compromesso.
Nel caso descritto da Microsoft, dopo aver ottenuto il controllo della macchina l’attaccante esegue un comando PowerShell per installare in modo silenzioso un pacchetto MSI ospitato su un cloud controllato da lui. All’interno del pacchetto è presente la versione portatile di Node.js, che viene estratta in una cartella del profilo utente. Da lì viene poi creato un collegamento camuffato, con un nome che richiama un finto aggiornamento di Edge, così da avviarsi automaticamente all’accensione o al login e mantenere la presenza nel sistema.
Come funziona l’attacco e perché è pericoloso
Una volta attivo, il codice malevolo stabilisce una connessione HTTPS con un server remoto e riceve istruzioni in JavaScript. Gli specialisti di Microsoft hanno osservato anche attività di ricognizione nella rete interna tramite strumenti e protocolli legittimi come ADSI e WMI, seguiti da interrogazioni verso Active Directory per mappare utenti, gruppi e relazioni di dominio. In una fase successiva, l’attaccante può caricare DLL con rundll32 e spostarsi lateralmente usando WinRM, puntando a risorse strategiche come i controller di dominio e le autorità di certificazione.
Il punto critico, sottolinea Microsoft, è che non si tratta del classico phishing che ruba soltanto una password. Qui è un operatore umano a intervenire in ogni fase, con interazioni dirette e decisioni prese in tempo reale, come se fosse davvero un addetto IT. Questo rende il raggiro più efficace e permette all’aggressore di adattarsi rapidamente alle reazioni del dipendente, aggirando molti controlli tradizionali.
Le contromisure consigliate da Microsoft
Per ridurre il rischio, Microsoft invita le aziende a formare il personale affinché verifichi sempre l’identità di chi contatta il reparto IT attraverso canali interni già validati, e non tramite richieste in arrivo su Teams. L’azienda raccomanda inoltre di applicare l’autenticazione multifattore con Microsoft Entra Conditional Access, di limitare WinRM alle sole postazioni di amministrazione autorizzate e di mantenere aggiornato l’elenco degli strumenti di teleassistenza ammessi in azienda.
Microsoft ha anche introdotto su Teams una protezione contro l’usurpazione di marchio, progettata per intercettare questi tentativi fin dal primo contatto. La funzione è stata distribuita alle aziende del canale di rilascio anticipato e mostra un avviso durante la chiamata quando viene rilevato un possibile abuso di identità. L’allerta è attiva per impostazione predefinita, senza necessità di configurazione da parte dell’amministratore, e rappresenta un ulteriore strumento per difendersi da una minaccia che punta soprattutto sulla fiducia degli utenti.