Teams vishing: centinaia di attacchi IT-themed portano a ransomware Chaos

Il 26 ottobre 2026 le squadre di sicurezza hanno un nuovo scenario standard da gestire: centinaia di attacchi vishing condotti attraverso Microsoft Teams external chat, con display names IT-themed e deploy finale di Chaos ransomware. Arctic Wolf Labs e Sophos hanno documentato una campagna sistematica, attribuita al gruppo STAC4749, che trasforma una funzione di produttività in tunnel di accesso privilegiato.

L'attacco non sfrutta vulnerabilità software ma abusa di funzionalità legittime: Teams external access, Remote Monitoring and Management (RMM) tools commerciali, Azure Blob Storage e PowerShell. La rapidità di esecuzione — 17 ore tra primo contatto e cifratura della rete — e l'uso di strumenti legittimi rendono la detection estremamente complessa per le difese tradizionali.

Punti chiave

Arctic Wolf Labs ha documentato centinaia di casi con pattern identico: stessi throwaway tenants, stessi display names IT-themed, stessi RMM tools e payload domains convergenti.
Sophos ha tracciato il gruppo STAC4749 in decine di organizzazioni nordamericane tra febbraio e giugno 2026, con il 50% dei casi in Canada e il 44% negli Stati Uniti.
Gli attaccanti usano tenant throwaway con domini .top e .onmicrosoft.com, evolvendo verso TLD a pagamento per aumentare la plausibilità.
Il malware include loader custom con C2 gRPC, backdoor Python per ricognizione LDAP e persistenza via registry keys mascherate da componenti audio Realtek/WinAudio.

Come funziona il trust exploit di Teams

La catena di compromissione inizia con un messaggio in Teams external chat. L'attaccante presenta un display name come "IT Service Desk – Liam", "IT Service Desk – Matt" o "IT Service Desk – Scott". Arctic Wolf Labs ha osservato un pattern consistente: gli stessi nomi ricorrono attraverso centinaia di incidenti, a volte con l'aggiunta del nome di dominio dell'organizzazione target per aumentare la credibilità.

Il 30-40% dei casi usa domini *.onmicrosoft[.]com generati automaticamente dai tenant Microsoft 365. Una quota crescente — circa il 50% — si sposta verso TLD a pagamento, in particolare .top, con circa il 40% su .com e il restante 5% su domini multi-livello come .com.pl, .com.vn e .com.br. Sophos ha identificato esempi come sequrityupdate.top e scan-security.top associati al gruppo STAC4749.

Secondo Arctic Wolf Labs, "External Microsoft Teams chat has become an effective initial-access vector because it exploits trust rather than a software vulnerability". L'avvertimento di utente esterno che Teams mostra viene neutralizzato dalla familiarità del display name e dal contesto apparentemente legittimo.

Dal primo contatto alla persistenza: la cronotassi di STAC4749

Dopo l'ingaggio iniziale, l'attaccante induce la vittima a installare un tool di accesso remoto. Sophos ha documentato l'evoluzione delle preferenze del gruppo: Quick Assist inizialmente, poi RemSupp come fallback, e da aprile 2026 preferenza stabile per RemSupp data la minore presenza nelle blocklist commerciali. Altri RMM osservati includono AnyDesk, ScreenConnect, TeamViewer, Atera, Zoho Assist, NetSupport, LogMeIn, Level e DWAgent.

Una volta ottenuto l'accesso, l'attaccante guida la vittima nell'esecuzione di PowerShell per scaricare un pacchetto MSI da Azure Blob Storage. L'installer estrae ed esegue un implant Python. Sophos ha analizzato un loader custom che comunica con C2 via gRPC verso IP hardcoded: 94.140.114.192:443, 94.140.115.18:443 e 94.140.115.129:443.

La backdoor Python raccoglie identificatori di sistema — computer name, machine GUID, OS version — e rileva i security products attivi. La persistenza viene stabilita tramite registry Run key masquerade come componenti audio Realtek o WinAudio. Sophos ha misurato la durata delle chiamate scam: da 90 secondi a oltre 20 minuti, con la maggioranza concentrate tra i 2 e i 2,5 minuti.

"A consistent pattern of attacker behavior has emerged across these incidents: the use of the same throwaway tenants, the same 'IT Support (Internal)' display names, the same remote-access tools, and increasingly, the same payload domains" — Arctic Wolf Labs

Ricognizione LDAP, movimento laterale e deploy di Chaos

Dopo l'installazione, il malware esegue query LDAP contro Active Directory per mappare la rete. Sophos ha documentato il movimento laterale tramite abilitazione RDP via msconfig, tecnica che evita strumenti di remote access più monitorati. In diversi casi la compromissione è culminata nel deploy di Chaos ransomware.

Cybersecurity Dive, riportando dati Sophos con data di luglio 2026, ha documentato almeno tre casi con deployment Chaos e un tempo di 17 ore tra accesso iniziale e cifratura. Chaos ransomware-as-a-service è attivo da febbraio 2025, con collegamenti documentati a ex membri del gruppo BlackSuit. Sophos ha confermato che "In several incidents, attackers later leveraged this access to deploy Chaos ransomware".

I settori target di STAC4749 riflettono una strategia non casuale: services (20%), manufacturing (17%), energy (12%), construction/engineering (12%). Sophos ha inoltre identificato il targeting sistematico di organizzazioni legali specializzate in IP law, suggerendo un interesse specifico per i dati proprietari.

Perché le difese email-centriche falliscono

Il vettore Teams inverte la logica delle difese perimetrali tradizionali. I controlli anti-phishing su email — Safe Links, ZAP scanning, sandboxing degli allegati — non intercettano conversazioni in Teams. Arctic Wolf Labs ha osservato che gli attaccanti evitano deliberatamente di incollare URL direttamente nella chat, "which would trigger Safe Links / ZAP scanning, and instead navigate to the payload themselves during the remote session".

L'uso di RMM legittimi complica ulteriormente il quadro. Questi strumenti generano traffico firmato e spesso whitelisted, bypassando i controlli EDR basati su reputazione del file. La detection richiede quindi un modello identity-centrico: correlazione tra accesso Teams, installazione RMM non standard e esecuzione PowerShell nello stesso timeframe di sessione.

Cosa fare adesso

Le organizzazioni con Microsoft Teams external access abilitato devono assumere che questo vettore sia attivo e prioritizzare controlli specifici.

Ridurre o disabilitare Teams external access: limitare l'abilitazione di chat esterne a domini whitelistati, con approvazione manageriale documentata per ogni nuovo dominio.
Monitorare le installazioni di RMM tools non gestiti: correlare l'esecuzione di Quick Assist, RemSupp, AnyDesk e simili con ticket di supporto verificati; segnalare istanze senza mappatura preventiva.
Abilitare logging e alerting su PowerShell execution in sessioni di remote assistance: tracciare download da storage cloud (Azure Blob, AWS S3) durante intervalli di supporto remoto.
Addestrare gli utenti al vishing su canali non-email: includere esplicitamente Teams, Slack e altre piattaforme collaborative nei programmi di security awareness, con simulazioni che replicano display names IT-themed.

La geografia di un attore e i limiti dell'attribuzione

Sophos ha esplorato possibili collegamenti tra STAC4749 e MuddyWater, un gruppo generalmente associato agli interessi strategici iraniani, ma ha escluso questa ricostruzione. Secondo il vendor, STAC4749 è "linked to a criminal actor" finanziariamente motivato. Non emergono sovrapposizioni infrastrutturali con attori state-sponsored nelle evidenze pubblicate.

Rimangono zone d'ombra. Il numero esatto di organizzazioni compromesse non è quantificato con precisione: "centinaia di casi" è la metrica di Arctic Wolf Labs, ma non tutti hanno necessariamente portato a ransomware o exfiltrazione completa. Non è nemmeno chiaro se l'attività del 26 ottobre 2026 rappresenti una nuova ondata operativa o una sintesi pubblica di campagne pregresse.

Il problema strutturale delle app collaborative

La campagna STAC4749 non è un incidente isolato ma la dimostrazione di un trasferimento di vettore sistematico. Le piattaforme di collaborazione aziendale sono progettate per abbattere le barriere comunicative; gli attaccanti sfruttano esattamente questa architettura. Il trust che gli utenti associano a Teams — diverso dalla diffidenza ormai interiorizzata verso l'email — diventa la superficie d'attacco.

La risposta non può essere solo tecnica. La disabilitazione completa di Teams external access ha costi operativi reali per le organizzazioni con ecosistemi estesi. La sfida per i team di sicurezza è costruire detection che non dipendano dalla presenza di un exploit software ma dalla comprensione del flusso di lavoro legittimo e dalle sue deviazioni.

FAQ

Teams external access è vulnerabile per design?

No. L'attacco non sfrutta una vulnerabilità software ma abusa della funzione legittima di chat esterna, sottolineando come la sicurezza delle interfacce collaborative richieda controlli dedicati oltre alla sicurezza email tradizionale.

Perché gli attaccanti preferiscono RemSupp a Quick Assist?

Sophos ha documentato uno shift da aprile 2026 verso RemSupp perché presenta minore presenza nelle blocklist commerciali di sicurezza, riducendo la probabilità di blocco automatico durante l'installazione.

Qual è il tempo medio di reazione necessario per bloccare l'attacco?

Sophos ha misurato 17 ore tra accesso iniziale e deployment di Chaos ransomware in almeno un caso. Questo intervallo definisce il tempo massimo disponibile per l'interruzione della catena di compromissione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter