En un entorno empresarial cada vez más digitalizado, las herramientas de colaboración como Microsoft Teams se han vuelto indispensables. Sin embargo, esta misma ubicuidad las convierte en un objetivo prioritario para los ciberdelincuentes. Recientemente, se ha detectado una sofisticada campaña de vishing (phishing de voz) que utiliza esta plataforma para desplegar el temido ransomware Chaos.
¿Cómo opera la campaña STAC4749?
Identificada por investigadores de seguridad, esta campaña —denominada STAC4749— se centra en la suplantación de identidad del personal de soporte técnico (IT). Los atacantes contactan a los empleados a través de chats y llamadas de voz de Microsoft Teams, utilizando dominios fraudulentos con terminación .top (como securityupdate.top o supportsoft.top) para ganar credibilidad y evadir los filtros tradicionales.
El modus operandi técnico sigue una estructura bien definida:
- Engaño inicial: El atacante, bajo nombres falsos como «Jason Mitchell» o «Ethan Parker», convence al empleado de que existe un problema técnico urgente que requiere intervención.
- Acceso remoto: Solicitan al usuario iniciar una sesión de soporte mediante herramientas legítimas como Microsoft Quick Assist o, en su defecto, RemSupp.
- Persistencia silenciosa: Una vez obtenido el acceso, ejecutan comandos de PowerShell para descargar backdoors en la carpeta
%AppData%. Para evitar detecciones, disfrazan las entradas del registro con nombres de componentes de audio legítimos como «Realtek HD Audio».
Del contacto inicial al cifrado en menos de 17 horas
Lo que hace especialmente peligrosa a esta amenaza es su velocidad de ejecución. En los incidentes analizados, se ha observado que los atacantes logran pasar del acceso inicial al despliegue del ransomware Chaos en un intervalo menor a 17 horas. Durante este tiempo, no solo cifran los archivos, sino que también suelen realizar movimientos laterales mediante RDP y exfiltración de datos sensibles.
El ransomware Chaos opera bajo un modelo de Ransomware-as-a-Service (RaaS) y se vincula con actores procedentes de grupos extintos pero altamente peligrosos como Conti y BlackSuit. La nota de rescate, habitualmente denominada readme.chaos.txt, advierte a las víctimas que su información será filtrada si no se cumple con las demandas económicas.
Medidas de prevención para las organizaciones
Desde la perspectiva de
Fuentes
- Bleeping Computer — Microsoft Teams vishing attacks lead to Chaos ransomware attacks
https://www.bleepingcomputer.com/news/security/microsoft-teams-vishing-attacks-lead-to-chaos-ransomware-attacks/