קמפיין וישינג מתחזה לתמיכת IT דרך Microsoft Teams חודר לרשתות ארגוניות

חוקרי Unit 42 של Palo Alto Networks חשפו קמפיין הנדסה חברתית מתמשך, המכונה Spring Ring, שבו תוקפים מתחזים לצוותי תמיכת IT פנימיים דרך צ'אטים חיצוניים ב-Microsoft Teams, ולאחר מכן משכנעים עובדים בשיחה טלפונית להעניק גישת שליטה מרחוק למחשביהם. גם מיקרוסופט פרסמה מחקר נפרד המתאר תבנית תקיפה דומה ומאשרת שהתופעה בעלייה.

הפרטים

לפי Unit 42, בין ינואר לאפריל 2026 פנו תוקפים ליותר מ-150 עובדים בלפחות עשרה ארגונים, כשהם רושמים חשבונות Teams חיצוניים עם שמות שנועדו להיראות כמו מחלקת IT פנימית, למשל "ITProtectionDepartment". השיחות, שנמשכות בדרך כלל 10-15 דקות, מכוונות את הקורבן להתקין כלי גישה מרחוק לגיטימיים כמו Quick Assist או Supremo Remote Desktop. לפי מיקרוסופט, ברגע שמושגת דריסת רגל התוקפים ממנפים כלים חוקיים נוספים כמו WinRM לתנועה רוחבית בין מחשבים מחוברי דומיין, מנסים להגיע לבקרי הדומיין, ומשתמשים בכלי Rclone לחילוץ סלקטיבי של מידע לענן חיצוני תוך הסתרת העקבות. Unit 42 זיהתה את הפעילות אחרי שאיתרה יצירת צ'אטים חשודה במספר סביבות Microsoft 365, ומיפתה לפחות 26 זהויות תוקף שונות.

נקודות לשים לב

יש להתייחס לפניות מ-Teams ממשתמשים חיצוניים לארגון כלא-מהימנות כברירת מחדל, ובפרט כאלה שמזדהות כתמיכה טכנית או אבטחת מידע.
הגבל או פקח מקרוב על השימוש בכלי גישה מרחוק כמו Quick Assist, ושקול לחסום אותם עבור משתמשים שאינם צוות IT.
הגבל שימוש ב-WinRM למערכות מבוקרות בלבד, כדי לצמצם את יכולת התנועה הרוחבית גם אם תחנת קצה בודדת נפרצת.
חפש ביומני הרישום (logs) העברת נתונים חריגה דרך Rclone או כלי סנכרון ענן לא מוכרים — זהו סימן היכר אפשרי (IoC) של השלב האחרון בקמפיין.
הדריכו עובדים שקבלת הוראה טלפונית להתקין תוכנה או לאשר גישה מרחוק — גם אם הפונה נשמע משכנע ומכיר מונחים ארגוניים — מחייבת אימות מול ערוץ רשמי לפני ביצוע.