Ricevi DeafLetter
Una selezione settimanale di segnali, vulnerabilità e guide. Gli avvisi critici restano facoltativi.
Puoi cancellarti in ogni momento. Privacy policy.
Tra gennaio e aprile 2026, un'operazione di ingegneria sociale denominata Spring Ring ha sfruttato account Microsoft Teams esterni per impersonare personale IT help desk, avviare chiamate di voice phishing e indurre dipendenti a eseguire strumenti di remote monitoring and management o malware personalizzato. Unit 42 di Palo Alto Networks ha documentato la campagna con telemetria su oltre 150 dipendenti contattati in almeno 10 aziende. Il report rivela che in alcuni casi gli attaccanti sono passati dalla chiamata a un attacco NTLM relay contro il domain controller, abbreviando il percorso da singola compromissione a controllo del dominio.
- Spring Ring ha contattato oltre 150 dipendenti in almeno 10 aziende tra gennaio e aprile 2026, impersonando personale IT su Microsoft Teams
- Le chiamate vishing di successo duravano tipicamente 10-15 minuti, con più tentativi e voicemail lasciate alle vittime
- Gli attaccanti utilizzavano tenant .onmicrosoft.com con nomi mirati a sembrare infrastrutture legittime, come ITProtectionDepartment e MandatoryNetworkMonitoring
- In una variante avanzata, la telefonata si è trasformata in attacco NTLM relay contro il domain controller tramite strumenti open-source
Come funziona: la catena dell'inganno su Teams
La campagna si è appoggiata alla funzione "Chat with Anyone" di Teams, che di default consente agli utenti esterni di avviare conversazioni. Gli attaccanti hanno creato tenant .onmicrosoft.com con nomi studiati per evocare strutture IT interne: ithelp@InternalSystemsDaily[.]onmicrosoft[.]com, HelpDesk@ITProtectionDepartment[.]onmicrosoft[.]com, itadmin@MandatoryNetworkMonitoring[.]onmicrosoft[.]com, Internal@InternalUSAHelpDeskIT[.]onmicrosoft[.]com, ithelpdesk@CertifiedUpdateNetwork[.]onmicrosoft[.]com. Questa scelta architettonica sfrutta una asimmetria percettiva: gli utenti sono addestrati a diffidare delle email, ma tendono a considerare le chat su piattaforme aziendali come sicure per definizione.
Come ha documentato Unit 42, "what seems like a benign chat is in fact a voice phishing (vishing) call, during which adversaries try to coerce victims into executing remote monitoring and management (RMM) tools or custom malware". Le identità di attacco includevano nomi specifici di personale reale dell'industria, parzialmente redatti nel report per privacy. Le chiamate richiedevano interazione vocale attiva, non link passivi: un cambio di paradigma rispetto al phishing tradizionale.
Unit 42 non ha rilevato vulnerabilità nel prodotto Microsoft correlata a questa campagna. L'attacco funziona per design, non per difetto: la combinazione di federazione aperta e mancanza di monitoraggio delle chiamate vocali su Teams ha creato un vettore che gli strumenti di sicurezza email non intercettano.
Due campagne, due payload: dal RMM al dropper personalizzato
Il report distingue due campagne con tattiche di post-compromissione diverse. Campaign A seguiva un approccio "bring-your-own-tool": gli attaccanti inducevano la vittima a eseguire software RMM legittimi, come Quick Assist o strumenti di terze parti. Campaign B impiegava invece un dropper personalizzato con tecniche di offuscamento, indicando maggiore complessità e attività successive più articolate.
La transizione tra le due campagne non è completamente chiara dal report. Ciò che emerge con certezza è che entrambe dipendevano dall'interazione umana iniziale: nessuna delle due sfruttava exploit software o vulnerabilità zero-day. Questo rende la campagna particolarmente resistente alle difese tecniche tradizionali, che si concentrano su firme di malware e anomalie di rete.
Da una chiamata al domain controller: l'escalation NTLM relay
La variante più preoccupante documentata da Unit 42 mostra come il vishing su Teams possa essere solo il primo anello di una catena più lunga. Secondo il report, "in a more advanced variant, attackers transitioned from a vishing call to a full-blown Microsoft NT LAN Manager (NTLM) relay attack aimed at an organization's domain controller (DC)". Gli attaccanti hanno utilizzato strumenti open-source come PetitPotam per forzare l'autenticazione NTLM e reindirizzarla verso server sotto loro controllo.
Questo meccanismo è particolarmente insidioso perché non richiede malware sofisticato né giorni di movimento laterale. Come ha osservato Unit 42, "once the trust gap is crossed, the path to domain-level privileges via open-source tools like PetitPotam is short". Il trust gap è il punto centrale: la chiamata vocale su una piattaforma considerata interna crea una credibilità che supera i controlli tecnici.
Il trend quantificato: Teams come nuovo perimetro di attacco
I numeri raccolti da Palo Alto Networks e da terze parti indicano una ridefinizione del perimetro di rischio. Nel primo quadrimestre 2026, il 42% degli alert phishing in Cortex è provenuto da strumenti di collaborazione, rispetto al 30% del quadrimestre precedente. Secondo i dati citati da Unit 42, KnowBe4 ha registrato un aumento del 41% degli attacchi basati su Teams tra ottobre 2025 e marzo 2026. Questi dati, pur non essendo specifici di Spring Ring, corroborano il trend che ha reso possibile l'operazione.
"Spring Ring's approach relies on active human voice interaction. In this way, attackers can evade detection without a software exploit. Instead, they rely on exploiting the trust that employees place in software as a service (SaaS) collaboration platforms" — Unit 42, Palo Alto Networks
Cosa fare adesso
Le implicazioni di Spring Ring sono specifiche e misurabili per le organizzazioni che utilizzano Microsoft Teams con federazione aperta. Il report documenta 26 identità distinte utilizzate per avvicinare i target, tutte ospitate su tenant .onmicrosoft.com controllati dagli attaccanti. Questo dato suggerisce che la visibilità sui tenant esterni che interagiscono con il proprio ambiente Teams è un indicatore di esposizione diretto.
Le chiamate vishing di successo duravano 10-15 minuti, un intervallo che offre una finestra di rilevamento comportamentale. Le organizzazioni possono valutare se i propri sistemi di logging registrino durata e frequenza di chiamate da contatti esterni su piattaforme di collaborazione. La mancanza di questo dato, notata da Unit 42, riduce la visibilità su un vettore che ha già generato il 42% degli alert phishing nel primo quadrimestre 2026.
La distinzione tra Campaign A e Campaign B ha un'implicazione pratica: Campaign A utilizzava RMM legittimi già noti, mentre Campaign B impiegava un dropper personalizzato. Questa differenza indica che le liste di controllo sui software eseguiti devono includere non solo strumenti riconosciuti come malevoli, ma anche quelli legittimi quando avviati su iniziativa di un utente dopo contatto esterno.
L'escalation a NTLM relay documentata nella variante avanzata mostra che la compromissione iniziale su Teams può condurre a domain-level privileges senza catene di movimento laterale tradizionali. Le organizzazioni che non hanno visibilità su autenticazioni NTLM verso domain controller espongono un percorso che Spring Ring ha già percorso.
Il confine tra piattaforma fidata e vettore di attacco
Spring Ring evidenzia una trasformazione strutturale nel modo in cui gli attaccanti valutano la superficie di attacco. Le piattaforme SaaS di collaborazione non sono più canali alternativi al phishing email: stanno diventando il canale principale, sfruttando una fiducia sociale che le politiche di sicurezza tradizionali non hanno ancora mappato. La voce umana aggiunge un livello di credibilità che il testo non raggiunge, e la mancanza di logging dettagliato sulle chiamate vocali su Teams riduce la visibilità per i team di sicurezza.
La campagna si colloca in un continuum di minacce su Teams che include operazioni attribuite ad APT29, ma ne differisce per metodo e intensità. Se il phishing su Teams era finora associato a messaggi automatizzati e link malevoli, Spring Ring introduce la scala umana: chiamate lunghe, multiple interazioni, adattamento in tempo reale al comportamento della vittima. Questo spostamento richiede una rivalutazione dei modelli di addestramento alla sicurezza, ancora prevalentemente orientati a riconoscere email sospette piuttosto che conversazioni vocali su piattaforme aziendali.
La possibile escalation a NTLM relay contro domain controller è il segnale più forte di quanto breve possa essere la distanza tra una singola compromissione individuale e il controllo dell'infrastruttura aziendale. Non serve una catena complessa di movimento laterale quando la fiducia iniziale è sufficiente a legitimare l'esecuzione di strumenti che aprono il passaggio.
Fonti
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.
Fonti
Ricevi DeafLetter
Una selezione settimanale di segnali, vulnerabilità e guide. Gli avvisi critici restano facoltativi.
Puoi cancellarti in ogni momento. Privacy policy.