Publié le 9 octobre 2024 11h19. Microsoft alerte sur une recrudescence des attaques ciblant sa plateforme de collaboration Teams, révélant des techniques sophistiquées utilisées par les cybercriminels pour compromettre les réseaux d’entreprises et exfiltrer des données sensibles. L’entreprise publie des recommandations détaillées pour renforcer la sécurité de l’outil.
- Microsoft a publié des directives de sécurité complètes pour Microsoft Teams, face à une augmentation des menaces.
- Les attaquants exploitent les fonctionnalités de Teams (chat, réunions, partage d’écran) pour infiltrer les réseaux et voler des données.
- Les organisations doivent renforcer leurs contrôles d’accès, surveiller les activités suspectes et sensibiliser leurs employés aux techniques d’ingénierie sociale.
Microsoft tire la sonnette d’alarme concernant la sécurité de sa plateforme de collaboration Teams. L’entreprise a publié un avis détaillé décrivant les méthodes employées par les acteurs malveillants pour exploiter les fonctionnalités clés de l’outil – chat, réunions, appels audio et vidéo, partage d’écran et intégrations d’applications – afin de compromettre les réseaux d’entreprises, d’y maintenir une présence durable et de dérober des informations confidentielles.
Ce qui distingue cette annonce est sa provenance. Traditionnellement, les alertes concernant les vulnérabilités des plateformes collaboratives proviennent de chercheurs en sécurité indépendants ou d’entreprises spécialisées dans la réponse aux incidents. Le fait que Microsoft prenne l’initiative de publier ces directives témoigne de l’intensification de l’activité malveillante ciblant Teams et de la nécessité d’une réponse proactive.
Les recommandations de Microsoft pour une sécurité renforcée
Microsoft met en évidence plusieurs points d’accès critiques que les organisations doivent impérativement sécuriser. Pour aider les utilisateurs à comprendre comment les attaques se déroulent, l’entreprise a cartographié le cycle de vie complet d’une attaque au sein de l’environnement Teams.
Ce cycle commence par une phase de reconnaissance, où les attaquants collectent des informations avant d’entrer en contact direct avec leurs cibles. Ils peuvent ainsi recenser les utilisateurs, les équipes, les canaux, les configurations du locataire et les politiques de collaboration entre locataires en utilisant les API Microsoft Graph et des outils de renseignement open source. Des paramètres de confidentialité trop permissifs, des configurations d’accès externes ou des restrictions de fédération mal définies peuvent involontairement exposer des informations précieuses sur la structure interne, les habitudes de communication et la posture de sécurité d’une organisation.
Les attaquants exploitent ensuite ces informations pour orchestrer des campagnes d’ingénierie sociale hautement ciblées. Ils créent de faux locataires Entra ID, enregistrent des noms de domaine personnalisés et développent des identités visuelles imitant le support informatique interne ou les services d’assistance. Ces opérations sophistiquées de simulation leur permettent de planifier des réunions Teams privées, d’utiliser les fonctionnalités audio et vidéo, et d’exploiter le partage d’écran pour gagner la confiance de leurs victimes potentielles, augmentant ainsi leurs chances de voler des identifiants ou de déployer des logiciels malveillants.
L’ingénierie sociale via le chat et les réunions Teams est devenue une méthode d’accès initiale privilégiée. Les attaquants distribuent des outils de surveillance et de gestion à distance, ou redirigent les utilisateurs vers des sites web compromis hébergeant des téléchargements malveillants. Ils exploitent également les flux d’authentification adaptative et la lassitude de l’authentification multifacteur, en inscrivant des facteurs d’authentification sous leur contrôle ou en utilisant le phishing par code d’appareil pour dérober des jetons de session et maintenir un accès persistant.
Une fois infiltrés dans un environnement, les attaquants abusent des fonctionnalités légitimes de Teams pour atteindre leurs objectifs. Ils utilisent des identifiants compromis pour se faire passer pour des utilisateurs via les API Teams, demandent des jetons OAuth et énumèrent systématiquement les applications, les fichiers et les conversations. Les mécanismes de persistance incluent la modification des configurations de démarrage et l’ajout d’utilisateurs invités non autorisés aux comptes Teams.
Les mouvements latéraux exploitent souvent des rôles administratifs compromis ou des politiques de communication externe laxistes. Des cas ont été documentés où des attaquants ont usurpé l’identité du personnel informatique de plusieurs organisations pour étendre leur contrôle. L’analyse des activités malveillantes révèle que les discussions Teams, les canaux et les données associées stockées dans OneDrive et SharePoint sont des cibles privilégiées, avec des outils spécialisés capables d’exporter des historiques de conversations complets et contextualisés.
Teams sous pression
La publication de ces directives par Microsoft reflète une prise de conscience de l’augmentation des attaques ciblant la plateforme. Plusieurs organismes de recherche en cybersécurité ont identifié des campagnes distinctes qui confirment les préoccupations de Microsoft et justifient la publication de ces recommandations formelles.
Une campagne récemment documentée, surnommée Oyster, illustre comment la publicité malveillante, l’empoisonnement des moteurs de recherche et les publicités payantes sont utilisés pour rediriger les utilisateurs à la recherche de téléchargements légitimes de Teams vers des sites malveillants. Une autre campagne, encore plus sophistiquée, a compromis plus de 900 organisations en exploitant à la fois Zoom et Teams comme vecteurs d’attaque.
Contrairement aux techniques traditionnelles de vol d’identifiants, les attaquants de cette campagne ont incité les employés à installer volontairement des logiciels espions via des invitations à des réunions de communications unifiées d’apparence authentique. Trend Micro a également documenté un modèle d’attaque débutant par l’usurpation d’identité de Teams et aboutissant au déploiement de logiciels malveillants via des techniques de chargement latéral de DLL.
Ces attaques démontrent la sophistication croissante des campagnes d’ingénierie sociale exploitant Teams et soulignent la nécessité d’une défense coordonnée sur les couches d’identité, de point de terminaison et de réseau, plutôt que de se fier à une seule mesure de protection.
Sécuriser Teams face à la montée des attaques
Les organisations qui s’appuient sur Microsoft Teams pour leurs communications critiques doivent reconnaître que le paysage des menaces évolue rapidement et exige une attention accrue à la sécurité de la plateforme. Au-delà d’une meilleure compréhension des techniques d’attaque, Microsoft insiste sur l’importance d’une surveillance continue de Teams.
Des indicateurs spécifiques de compromission incluent les invitations à des réunions suspectes envoyées à des utilisateurs sans historique d’interaction préalable, une communication rapide par chat avec plusieurs employés dans un court laps de temps, une activité inattendue de robots ou d’applications dans les canaux, et un accès anormal aux informations de présence. Ces signaux comportementaux précèdent souvent les compromissions réelles et offrent des opportunités d’intervention précoce.
Les conseils de sécurité de Microsoft pour Teams ne sont pas seulement un ensemble de recommandations techniques ; ils marquent une étape importante dans la reconnaissance du rôle central des plateformes de collaboration dans les préoccupations de sécurité des entreprises. Alors que les outils de communications unifiées dépassent les canaux traditionnels, les programmes de sécurité doivent évoluer en conséquence, en traitant ces plateformes avec la même rigueur qu’ils réservaient autrefois à la sécurité du courrier électronique et du web. Les organisations qui mettent en œuvre des contrôles de sécurité Teams complets se positionnent non seulement pour se défendre contre les menaces actuelles, mais aussi pour maintenir leur résilience face à un paysage de menaces en constante évolution.
À lire aussi
