🛡 MALWARE 🛡

Chats de equipos externos facilitan la entrega de malware en 15 minutos.

⏰28 de octubre de 2026🛡CyberObservatorio

Idioma

◢ MALWARE ◣

Chats de equipos externos facilitan la entrega de malware en 15 minutos.

⟫ 27/10/2026 ⟫ Alexander Culafi

Fuente: Dark Reading

**El Abuso de Microsoft Teams: Implicaciones de Seguridad en la Comunicación Empresarial**

En un mundo laboral cada vez más digitalizado, la comunicación a través de herramientas como Microsoft Teams se ha vuelto esencial para el funcionamiento diario de las empresas. Sin embargo, esta misma popularidad ha convertido a la plataforma en un objetivo atractivo para los actores maliciosos que buscan explotar sus funcionalidades. Recientemente, Arctic Wolf ha revelado una campaña de ataques que aprovechan la función de chat externo de Microsoft Teams, utilizando tácticas de suplantación de identidad en soporte técnico y técnicas de "bombardeo de correos electrónicos" para engañar a los empleados y obtener acceso remoto a sistemas corporativos. Este fenómeno no solo afecta a las empresas individuales, sino que también plantea un desafío de seguridad significativo a nivel sectorial, dado el amplio uso de Teams en múltiples organizaciones.

La campaña documentada por Arctic Wolf se basa en un patrón de ingeniería social que se ha observado en más de 400 incidentes. Los actores de amenazas utilizan la capacidad de Microsoft Teams para crear chats externos, lo que permite a partes externas contactar a los empleados de la empresa. Shubham Dubey, de Arctic Wolf, señala que ha emergido un patrón consistente en el comportamiento de los atacantes, quienes emplean inquilinos temporales similares, nombres de visualización de "Soporte Técnico (Interno)", herramientas de acceso remoto comunes y, cada vez más, los mismos dominios de carga útil.

En un escenario típico de ataque, la víctima es "bombardeada" con una avalancha de correos electrónicos, como suscripciones o boletines, para crear una sensación de urgencia. Posteriormente, un usuario externo de Teams que se hace pasar por soporte técnico contacta a la víctima, ofreciendo asistencia para resolver el problema. Este suplantador persuade al empleado para que inicie una sesión de acceso remoto utilizando herramientas legítimas como Quick Assist (la más común), AnyDesk, ScreenConnect, Atera, Zoho Assist, NetSupport y LogMeIn. Una vez que la víctima concede el acceso, el atacante puede ejecutar malware, robar credenciales, realizar reconocimiento o, en algunos casos, desplegar ransomware.

Dubey explica que el patrón típico de actividad tras la concesión de acceso incluye un reconocimiento basado en comandos como "whoami" o "systeminfo", la ejecución de una carga útil basada en PowerShell, un faro de comando y control, y el movimiento lateral para obtener credenciales mediante ataques como el "Kerberoasting" y "Golden PAC". Además, el atacante podría instalar una segunda herramienta de acceso remoto de grado comercial, que proporciona un canal de control independiente que sobrevive a la remediación del implante original.

El uso de técnicas de bombardeo de correos electrónicos no es nuevo. Los actores maliciosos han utilizado esta táctica como pretexto para la ingeniería social durante un tiempo considerable. Investigadores de Microsoft identificaron el uso de esta técnica por parte de Black Basta a mediados de 2024, y ejemplos posteriores se han observado en las campañas de 3AM, Cactus, Chaos y GoGRPC. Lo que destaca en la investigación de Arctic Wolf es la escala de esta técnica, que opera con una infraestructura recurrente, convenciones de nombres y comportamientos de ataque observados en cientos de incidentes.

Justin Moore, director de operaciones adversariales en Arctic Wolf, menciona que aproximadamente el 15% de los casos avanzaron más allá de la etapa inicial hacia una violación exitosa, lo que, dada la magnitud de la campaña, se considera un éxito para los atacantes. Aunque Moore no pudo atribuir de manera definitiva las oleadas de ataque a un grupo específico, señala que "la actividad asociada a Black Basta sigue siendo uno de los impulsores más significativos del abuso del chat en Teams".

En cuanto a la infraestructura utilizada, Arctic Wolf ha notado una transición de inquilinos temporales en onmicrosoft.com hacia dominios controlados por los atacantes, especialmente dominios ".top". Aproximadamente la mitad de los casos observados que involucraban dominios pagos utilizaban la extensión .top. En términos de nombres, los atacantes se comunican utilizando "(Interno)" al final del nombre de visualización para engañar a la víctima, haciéndola creer que el mensaje proviene de dentro de la empresa, a pesar de que Teams etiqueta al remitente como "externo".

Los atacantes también evitan conversaciones grupales antes de contactar a las víctimas, lo que permite una interacción más controlada y reduce la posibilidad de detección. Arctic Wolf considera que este es el principal punto de detección para los defensores que establecen alertas.

Como medidas de mitigación, Arctic Wolf recomienda implementar una lista blanca para organizaciones externas de confianza, bloquear chats con cuentas no gestionadas o de consumidores de Teams, desactivar la opción que permite a los usuarios no gestionados iniciar conversaciones con los empleados de la empresa, bloquear la federación con inquilinos únicamente de prueba y reforzar las rutas de acceso remoto.

En el marco del Mes de la Concienciación sobre la Ciberseguridad, Arctic Wolf sugiere que es prudente alertar al personal sobre los aspectos de ingeniería social detrás de estas campañas, incluyendo cómo debe ser el contacto con el soporte técnico y qué señales de advertencia deben buscarse. Microsoft Teams también incluye opciones de reporte por parte del usuario dentro de la propia aplicación.

Es importante destacar que esta técnica de ataque podría evolucionar aún más. Moore indica que se han observado recientemente campañas que combinan el abuso del chat de Teams con estilos de ingeniería social similares a ClickFix, lo que sugiere que el método sigue en desarrollo y se está integrando con otras técnicas de intrusión.

Un portavoz de Microsoft ha declarado que la compañía ayuda a las organizaciones a reducir el riesgo de phishing y la ingeniería social en Teams a través de protecciones integradas, las cuales pueden permitir a los administradores bloquear a usuarios externos de Teams. Además, el próximo mes, Teams introducirá detección de phishing impulsada por inteligencia artificial, que utiliza el contexto de la conversación para identificar intentos de phishing y de ingeniería social en escenarios de mensajes de alto riesgo, particularmente en chats de primer contacto con usuarios externos.

En resumen, la campaña detectada por Arctic Wolf subraya la necesidad urgente de una mayor vigilancia y educación en torno a las prácticas de comunicación digital dentro de las organizaciones, especialmente en un entorno donde las amenazas cibernéticas están en constante evolución.

◢ MALWARE ◣

External Teams Chats Anchor 15-Minute Malware Delivery

⟫ 27/10/2026 ⟫ Alexander Culafi

Source: Dark Reading

Threat actors are abusing Microsoft Teams' external chat functionality at scale, using IT-support impersonation andemail bombingtactics to trick employees into granting remote access. Attackers target multiple users within short, five-minute windows of time, and once the victim bites, the attack chain reaches payload execution in under 15 minutes. In a blog post on Monday, Arctic Wolf detailed the campaign, and what it described as a "recurringsocial engineeringpattern" across more than 400 incidents in the wild. Threat actors use Microsoft Teams' external chat creation capability, which enables outside parties to contact employees. "A consistent pattern of attacker behavior has emerged across these incidents: the use of the same throwaway tenants, the same 'IT Support (Internal)' display names, the same remote-access tools, and increasingly, the same payload domains," Arctic Wolf's Shubham Dubey wrote inthe blog post. In a typical example of the attack, the victim is "mail bombed," or inundated with a flood of email subscriptions or newsletters, to establish a sense of urgency. Then, an external Teams user claiming to be IT support contacts the victim and offers to address the issue. The impersonator persuades the employee to launch a remote-access session via legitimate tooling like Quick Assist (most common),AnyDesk, ScreenConnect, Atera, Zoho Assist, NetSupport, and LogMeIn. Once the victim grants access, the attacker conducts follow-on activity such as executing malware, stealing credentials, performing reconnaissance, or possibly deploying ransomware. Dubey explained that a typical order for this is a whoami/systeminfo-based recon, a PowerShell-based payload, a command-and-control (2) beacon, lateral movement to gain access to credentials throughKerberosabuse methods likeKerberoastingand GoldenPAC, and a second, commercial-grade remote access tool, "which provides an independent control channel that survives remediation of the original implant." Spam or mail bombing is not a new tactic. Threat actors have been flooding inboxes as a pretense for social engineeringfor some time now. Microsoft researchers identified the use of this technique byBlack Bastain mid-2024, with later examples seen in3AM,Cactus, Chaos, and the GoGRPC campaigns. But what stands out about Arctic Wolf's research is that it shows this technique operating at scale, with recurring infrastructure, naming conventions, and attacker behavior seen across hundreds of incidents. Justin Moore, director of adversary operations at Arctic Wolf, tells Dark Reading roughly 15% of cases progressed beyond the initial stage into a successful compromise, which, given the volume of the campaign, constitutes a success. As for who is behind recent attack waves, Moore could not make definitive attributions but says, "Black Basta-associated activity remains one of the most significant drivers of Teams chat abuse." On the infrastructure front, Arctic Wolf noted a move from throwaway onmicrosoft.com tenants toward attacker-controlled domains, especially ".top" domains, and provided data on their prevalence. The vendor stated that approximately half of observed cases involving paid domains used .top domains. For naming, attackers would reach out with "(Internal)" appended to the display name to trick the victim that a message is coming from within the company, even though Teams labels the sender as "external" simultaneously. The names will also frequently use friendly sounding names (Arctic Wolf offered Liam, Scott McGhee, and Matthew as examples) after labels like "IT Support" and "IT Service Desk." Other markers observed included naming conventions specific to the target's locale ("Supporte TI" for French and Spanish speaking organizations), and the use of 100 different emoji in attacker display names. Arctic Wolf noted that prior to engaging with victims, the attackers initiate a one-on-one chat to avoid group conversations, which Microsoft records in its telemetry as the ChatCreated event. Arctic Wolf assesses this to be the primary detection point for defenders setting alerts. The vendor also recommended setting an allowlist for trusted external organizations, block chats with unmanaged or Teams consumer accounts, disable the option that lets unmanaged users start conversations with your users, block federation with trial-only tenants, and harden your remote access path. In a nod toCybersecurity Awareness Month, Arctic Wolf pointed out that it may also be wise to alert staff to the social engineering aspects behind these campaigns, including outlining exactly how IT reaches out, what these contacts look like (and what they do not look like), and to train users how to read the external sender tag in Teams to identify possible red flags. Microsoft Teams also includes end user reporting in the application itself. That said, the technique could yet progress further. "We have also recently observed campaigns combining Teams chat abuse with ClickFix-style social engineering, suggesting that the technique continues to evolve and is being integrated with other intrusion methods," Moore says. A Microsoft spokesperson tells Dark Reading that the company helps organization reduce the risk of phishing and social engineering in Teams through layered, built-in protections that, for example, can let administrators block external Teams users. The spokesperson adds that, next month, "Teams is introducing AI-powered phishing detection that uses conversation context to identify phishing and social engineering in higher-risk messaging scenarios, particularly first-contact chats with external users."

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD