Depuis le mois d’octobre 2024, une nouvelle menace plane sur les entreprises utilisant Microsoft Teams comme plateforme de collaboration. Le tristement célèbre groupe de hackers Black Basta, spécialisé dans les attaques par ransomware, a en effet mis au point une technique inédite visant à détourner cet outil pour infiltrer les réseaux de ses victimes. Retour sur un mode opératoire aussi innovant que redoutable.

Le spam comme porte d’entrée

La première phase de l’attaque consiste à inonder les boîtes mail des utilisateurs avec des spams en apparence inoffensifs, mais en quantité telle que leur adresse devient rapidement inutilisable. Submergé par ce déluge de messages, l’employé ciblé va alors tout naturellement chercher de l’aide auprès de son service informatique. C’est précisément le comportement qu’attendent les pirates.

De faux comptes d’assistance pour piéger les victimes

Ayant préalablement créé de faux profils Microsoft Teams se faisant passer pour des agents du support technique, les cybercriminels entrent alors en scène. Ils contactent directement leur cible via la messagerie Teams, se présentant comme « Help Desk » ou « Security Admin Helper » et proposent une assistance immédiate. Le piège se referme lorsqu’ils demandent à la victime d’installer un logiciel de prise en main à distance, en réalité un cheval de Troie.

Les attaquants exploitent la confiance inhérente que les utilisateurs accordent aux plateformes collaboratives comme Microsoft Teams pour mieux les manipuler.

Rapport OP Innovate

Une prise de contrôle dévastatrice

Une fois le malware installé, les hackers prennent le contrôle total de l’ordinateur de l’employé à son insu. Ils en profitent pour déployer discrètement des logiciels malveillants supplémentaires et s’infiltrer progressivement dans le réseau de l’entreprise. Leur objectif : dérober un maximum de données sensibles et chiffrer les fichiers pour réclamer une rançon en échange de la clé de déchiffrement. Un cauchemar pour toute organisation.

Pourquoi Microsoft Teams est une cible de choix

En détournant cet outil largement utilisé en entreprise, les pirates de Black Basta court-circuitent les systèmes de sécurité traditionnels, davantage axés sur la surveillance des emails. Le caractère interactif et en temps réel des échanges sur Teams rend en effet bien plus ardu la détection de comportements malveillants. De plus, l’usurpation de comptes d’assistance informatique inspire confiance aux victimes et les incite à baisser leur garde.

• Contournement des outils de sécurité des emails
• Conversations interactives complexes à analyser
• Exploitation de la confiance envers les identités d’assistance

Un besoin urgent d’adapter les défenses

Face à ces nouvelles menaces ciblant les outils collaboratifs, les entreprises doivent impérativement revoir leurs stratégies de cybersécurité. Il devient essentiel d’étendre la surveillance et les contrôles de sécurité à l’ensemble des canaux de communication internes, et plus seulement aux emails. Une analyse comportementale basée sur l’IA pour détecter les anomalies en temps réel dans les conversations Teams pourrait par exemple s’avérer salutaire.

Plus globalement, ce mode opératoire innovant illustre la capacité du crime informatique à s’adapter en permanence pour exploiter les failles humaines et technologiques. Une course permanente qui impose aux entreprises de faire preuve d’une vigilance de tous les instants. La sensibilisation des employés aux risques et la mise en place de protocoles de réaction rapide en cas d’incident sont ainsi plus que jamais incontournables.