通過 Microsoft Teams 漏洞利用工具發送的自動化惡意軟件

該工具被稱為“TeamsPhisher”，使滲透測試人員和攻擊者能夠從外部環境直接向 Teams 用戶傳遞威脅文件。

攻擊者現在可以訪問功能強大的“TeamsPhisher”工具，該工具利用 Microsoft Teams 最近披露的漏洞。此工具提供了一種無縫方式，可以使用 Teams 將損壞的文件交付給組織內的特定用戶。通過利用內部和外部 Teams 用戶之間的通信功能，攻擊者可以直接將有害負載插入受害者的收件箱，而無需傳統的網絡釣魚或社會工程策略。該工具的出現引起了人們對針對性攻擊增加可能性的擔憂，並凸顯了組織加強安全措施以防範此類威脅的重要性。

先決條件和操作方式

據該工具的開發者、美國海軍紅隊成員 Alex Reid 稱，可以指示 TeamsPhisher 將附件上傳到發件人的 Sharepoint，然後繼續定位指定的 Teams 用戶列表。此過程涉及向工具提供附件、消息和目標用戶列表。然後，TeamsPhisher 將執行必要的步驟來執行預期的操作。

TeamsPhisher 利用 JUMPSEC 實驗室研究人員 Max Corbridge 和 Tom Ellson 最近披露的一項技術來克服 Microsoft Teams 中的安全限制。雖然協作平台允許來自不同組織的用戶之間進行通信，但文件共享受到限制。然而，Corbridge 和 Ellson 發現了一個不安全直接對象引用 (IDOR) 漏洞，這使他們能夠有效地繞過此限制。

通過操縱 POST 請求中的內部和外部收件人的 ID，他們發現以這種方式發送的有效負載將駐留在發件人的 SharePoint 域中並到達收件人的 Teams 收件箱。此漏洞會影響在默認配置下使用 Teams 的所有組織，使攻擊者能夠規避反網絡釣魚措施和其他安全控制。儘管微軟承認了這個問題，但他們認為這不是立即修復的優先事項。因此，組織必須保持警惕並採取主動措施來減輕這種潛在的安全風險。

Reid 的 TeamsPhisher 工具結合了 JUMPSEC、Andrea Santese 和 Secure Systems Engineering GmbH 的技術。它利用 TeamsEnum 進行用戶枚舉並合併初始訪問方法。 TeamsPhisher 驗證目標用戶接收外部消息的能力，並創建一個新線程將消息直接傳遞到收件箱，繞過通常的確認屏幕。新線程啟動後，消息和 Sharepoint 附件鏈接將發送給目標用戶。發送初始消息後，發送者可以在其 Teams GUI 中查看創建的線程並與之交互，根據需要解決任何特定情況。”

有消息人士聯繫微軟，請其評論 TeamsPhisher 的發布對其解決已發現漏洞的方法的影響，但尚未收到回复。 JUMPSEC 建議使用 Microsoft Teams 的組織評估在內部用戶和外部租戶之間實現通信的必要性。該公司建議：“如果您不定期與 Teams 上的外部租戶進行溝通，建議增強安全控制並完全禁用此選項。”

通過 Microsoft Teams 漏洞利用工具發送的自動化惡意軟件 截图