Un exploit recientemente descubierto permite la extracción de cookies y tokens de acceso desde Microsoft Teams, aprovechando técnicas avanzadas de manipulación de procesos. Esta amenaza puede pasar desapercibida y comprometer sesiones activas a nivel corporativo.

Una nueva técnica permite a los atacantes extraer tokens de autenticación cifrados de Microsoft Teams en Windows, lo que permite el acceso no autorizado a chats, correos electrónicos y archivos de SharePoint. 

Microsoft Teams, ampliamente adoptado en el entorno empresarial para la colaboración y comunicación, ha sido objeto de un nuevo vector de ataque. Investigadores han detectado técnicas que permiten a atacantes acceder a información sensible mediante la exfiltración de cookies y tokens de acceso, todo ello gracias a la explotación del proceso ms-teams.exe y la manipulación avanzada de handles de sistema.

La explotación consiste en la inyección de código dentro del proceso legítimo de Microsoft Teams, permitiendo el acceso directo a archivos de cookies protegidos. A través del uso del Data Protection API (DPAPI) de Windows, los atacantes descifran y extraen estos datos, obteniendo así los tokens que permiten el acceso no autorizado a recursos y conversaciones de Teams. La técnica logra camuflarse como actividad legítima y evitar la detección por soluciones de seguridad tradicionales.

El principal impacto es el secuestro de sesiones de usuario, poniendo en peligro la información empresarial, credenciales e integridad de las comunicaciones. Además, la sigilosidad del ataque favorece movimientos laterales y la posibilidad de que actores maliciosos permanezcan largos periodos de tiempo dentro del entorno corporativo. Otros productos basados en tecnologías similares también podrían verse afectados.

Se recomienda aumentar la monitorización de actividades sospechosas sobre procesos de Teams y accesos a DPAPI, así como revisar y limitar los privilegios de las cuentas. Es crucial mantener Teams y el sistema operativo actualizados, desplegar soluciones EDR con reglas que detecten manipulaciones de handles y sesiones, y realizar auditorías periódicas. La concienciación de los usuarios sobre riesgos asociados y la adopción de políticas Zero Trust ayudarán a mitigar el riesgo.

La aparición de este tipo de exploits demuestra la necesidad de fortalecer las medidas de seguridad en torno a herramientas de colaboración. Solo la actualización constante, una configuración restrictiva de privilegios y la monitorización activa permitirán a las organizaciones responder ante amenazas sofisticadas y poco evidentes como esta.

Implicancia para los defensores

El mecanismo de descifrado refleja exactamente Cookie-Monster-BOF, empleando AES-256-GCM después de extraer el nonce y la carga útil cifrada de los valores etiquetados "v10" en la base de datos.

Una vez obtenidos, los tokens permiten llamadas API para recuperar historiales de conversaciones, leer mensajes o enviar contenido de phishing en nombre de las víctimas, lo que aumenta los riesgos en el movimiento lateral o en campañas de ingeniería social.

Tier Zero Security ha hecho pública la herramienta en GitHub y es compatible con cualquier marco C2 que admita cargas útiles de Beacon y no requiere argumentos para su uso básico.

Esta versión subraya una brecha persistente en el modelo de seguridad de Teams en comparación con los navegadores reforzados. Las organizaciones deben priorizar el monitoreo del comportamiento para la inyección de procesos, imponer la ejecución con privilegios mínimos y considerar reglas de detección de puntos finales dirigidas a accesos DPAPI o manipulaciones de controles de vistas web.

Dado que el trabajo híbrido depende en gran medida de Teams, estas vulnerabilidades resaltan la necesidad de un escrutinio continuo de los componentes integrados del navegador en las aplicaciones de productividad.

Mitigaciones

Herramientas como GraphSpy ingieren el token para la lectura indebida de SharePoint o correos electrónicos, limitados a los permisos de Teams (por ejemplo, Chat.ReadWrite, Mail.Send). El token de actualización principal (PRT) de Microsoft se relaciona con esto, lo que permite un SSO fluido pero amplifica los riesgos de reutilización de tokens en todas las aplicaciones.

Las mitigaciones incluyen monitorear "la muerte de ms-teams.exe" o patrones inusuales de ProcMon, aplicar el cifrado vinculado a la aplicación y preferir Teams basados en web para evitar el almacenamiento local.

Rotar tokens a través de políticas de ID de Entra y auditar los registros de API para detectar anomalías. A medida que las amenazas de Teams evolucionan, las reglas EDR compatibles con DPAPI son esenciales.

Se recomienda aumentar la monitorización de actividades sospechosas sobre procesos de Teams y accesos a DPAPI, así como revisar y limitar los privilegios de las cuentas. Es crucial mantener Teams y el sistema operativo actualizados, desplegar soluciones EDR con reglas que detecten manipulaciones de handles y sesiones, y realizar auditorías periódicas. La concienciación de los usuarios sobre riesgos asociados y la adopción de políticas Zero Trust ayudarán a mitigar el riesgo. 

Fuentes:

https://unaaldia.hispasec.com/2025/11/nuevo-exploit-en-microsoft-teams-permite-el-robo-sigiloso-de-cookies-y-tokens-de-usuario.html