#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Злоумышленники выдают себя за сотрудников ИТ-отдела в Microsoft Teams, чтобы получить удаленный доступ, после чего развертывают имплант на базе Node.js с помощью вредоносного MSI-файла. Вредоносное ПО обеспечивает закрепление на уровне пользователя, выполняет разведку и сбор скриншотов, а также позволяет выполнять команды. Атакующие используют полученную точку присутствия для обнаружения Active Directory и перемещения внутри компании через WinRM по корпоративным системам.
-----

Злоумышленники осуществляют проникновения в инфраструктуру с участием человека, злоупотребляя функцией внешнего сотрудничества в Microsoft Teams для имитации сотрудников ИТ-отдела или службы поддержки. Они инициируют чаты или звонки из внешнего тенанта и убеждают пользователей игнорировать предупреждения о внешнем контакте, разрешать удаленное управление во время сеанса совместного использования экрана или предоставлять код подключения Quick Assist. Социальная инженерия по телефону (vishing) может использоваться для усиления предлога. Это предоставляет злоумышленнику интерактивный доступ, основанный на учетных данных, без эксплуатации уязвимости Microsoft Teams.

В ходе удалённой сессии злоумышленник использует PowerShell для загрузки вредоносного MSI-пакета, оформленного под обновление, из облачного хранилища, контролируемого злоумышленником, и выполняет его скрытую установку с помощью `msiexec`. MSI-пакет размещает скриптовый загрузчик и зашифрованный имплант в каталоге `LocalAppData` текущего пользователя. При необходимости также загружается легитимный портативный рантайм Node.js с официального дистрибутивного сервера. Скрытые процессы PowerShell, `cmd.exe` или `WScript` запускают Node.js, который расшифровывает и выполняет имплант либо через стандартный поток ввода, либо через временный файл JavaScript. Использование нестандартных расширений, таких как `.tmp`, `.dat`, `.bin` и `.cfg`, а также переименованные бинарные файлы Node.js могут способствовать обходу средств защиты, ориентированных на традиционные скрипты или неподписанные исполняемые файлы.

Закрепление (Persistence) устанавливается для каждого пользователя через значение `HKCU\Run` или ярлык в папке «Автозагрузка», при этом обычно используется имя `EdgeUpdate`. Имплант взаимодействует с сервером управления (command-and-control) посредством рандомизированного HTTPS-опроса (long polling). Ответы C2 обрабатываются как JavaScript и выполняются с доступом к модулям Node.js, запуску процессов, переменным окружения, буферам и файловой системе. Операторы используют эту возможность для запуска кратковременных процессов PowerShell и командной оболочки, сбора информации о хосте, аппаратном обеспечении (Hardware), локали, дисках, антивирусе и виртуализации, а также для периодического захвата, изменения размера, кодирования в Base64 и эксфильтрации скриншотов рабочего стола. Некоторые образы также содержат неактивную логику для получения URL C2 из смарт-контракта Ethereum.

После подтверждения точки присутствия операторы проводят разведку в Active Directory с использованием нативных команд и запросов ADSI для перечисления доменных учетных записей, пользователей, объектов серверов, адресов и полей описания пользователей. Дополнительные полезныe нагрузки выполняются через `rundll32.exe` путем загрузки DLL и экспортированных функций, предоставленных злоумышленником. Затем вторжение распространяется горизонтально через WinRM по TCP 5985 на системы, присоединенные к домену, включая файловые, баз данных и прикладные серверы, контроллеры домена и центры сертификации. Данный ход указывает на подготовку к повышению привилегий, нарушению работы средств защиты, краже данных, распространению программ-вымогателей или более широкой компрометации корпоративной инфраструктуры.