Cibercriminales se están haciendo pasar por técnicos de soporte informático a través de Microsoft Teams para engañar a los empleados y lograr que les entreguen el control remoto de sus computadoras Windows. Esta campaña utiliza conversaciones de soporte familiares para instalar malware, permitiendo que el atacante opere el dispositivo de la víctima como si estuviera físicamente frente a él.

Los ciberdelincuentes se están haciendo pasar por técnicos de TI en Microsoft Teams y persuadiendo a los empleados para que entreguen el control de sus ordenadores Windows.

La campaña convierte una conversación de soporte familiar en una vía directa para instalar malware, permitiendo que el intruso trabaje en el dispositivo de la víctima como si estuviera sentado frente a él.

El ataque comienza a través de un contacto externo de Teams, donde un operador genera confianza y pide al objetivo que abra Windows Quick Assist.

Una vez que el usuario aprueba la sesión, el atacante puede descargar y ejecutar un instalador dañino, evitando la necesidad de explotar un fallo de software o robar una contraseña previamente.

Analistas de Unit 42 identificaron la actividad como una operación de mesa de ayuda falsa que combina ingeniería social, abuso de control remoto y un canal de comandos oculto.

Unit 42 señaló en un informe que el método otorga finalmente a los operadores un acceso interactivo para el reconocimiento y el posible robo posterior o intrusión en la red. La campaña es relevante porque abusa de herramientas y servicios que muchas organizaciones ya permiten.

Un mensaje de Teams convincente, una función de asistencia remota integrada y el tráfico enrutado a través de infraestructura en la nube pueden hacer que la actividad parezca menos sospechosa que un intento convencional de entrega de malware, mientras dejan una decisión de seguridad crítica en manos de un solo empleado.

Se hacen pasar por soporte de TI en Microsoft Teams

Quienes llaman suplantan la identidad de un técnico de TI y utilizan el acceso externo de Teams para llegar a sus objetivos. Dirigen al empleado a Quick Assist, una utilidad nativa de Windows destinada al soporte legítimo, y solicitan la aprobación para una sesión remota.

Compromisos similares mediante llamadas de soporte de Teams muestran por qué cualquier solicitud inesperada de ayuda remota debe ser verificada a través de un canal interno conocido, y no siguiendo las instrucciones de quien llama.

Tras obtener el control, el operador recupera un instalador MSI desde una ubicación de Amazon S3 controlada por el atacante y lo ejecuta con Windows Installer.

El paquete puede utilizar un nombre que se asemeje a una actualización rutinaria y luego coloca una aplicación firmada legítima junto a un archivo de soporte dañino. Este enfoque es parte de un patrón más amplio de entrega de malware a través de Teams, donde se utilizan plataformas de trabajo confiables para bajar la guardia de la víctima.

Cuando se abre el programa legítimo, este carga la DLL maliciosa cercana en lugar de la copia normal de Windows. Esto, conocido como DLL sideloading, permite que el código dañino opere bajo la apariencia de una aplicación firmada.

La DLL establece una conexión cifrada con un endpoint de AWS API Gateway, un ejemplo de cómo los atacantes pueden ocultar el tráfico de comandos dentro de la actividad ordinaria de servicios en la nube.

Una shell oculta evade la detección

La DLL cargada mediante sideloading no proporciona por sí misma el símbolo del sistema final al atacante. En su lugar, utiliza Windows Management Instrumentation (WMI) para iniciar un programa de reverse-shell independiente.

Esa separación debilita las comprobaciones simples del árbol de procesos, ya que la shell maliciosa no es lanzada directamente por el cargador firmado, una táctica también vista en campañas recientes de DLL sideloading.

La shell escucha únicamente en la dirección local del ordenador infectado e intercambia datos con la DLL, que es la que mantiene la conexión exterior.

Posteriormente, abre un símbolo del sistema oculto que los atacantes utilizan para comprobar el usuario conectado, la configuración de red, las cuentas de dominio y el registro del dispositivo.

El grupo también puede inspeccionar carpetas de documentos sincronizadas en la nube, creando un riesgo inmediato para los datos empresariales y la información de identidad.

Como defensor, debes restringir o supervisar estrechamente los contactos de Teams provenientes de cuentas externas no confiables, y dejar claro que el personal de TI no solicitará acceso a Quick Assist a través de chats o llamadas no solicitadas.

Tu organización debería revisar si Quick Assist es necesario, entrenar a los empleados para que confirmen las solicitudes de soporte de forma independiente e investigar rápidamente cualquier sesión remota inusual.

La guía sobre ataques de vishing en Microsoft Teams refuerza que una solicitud para iniciar software de soporte remoto merece la misma precaución que un archivo adjunto sospechoso.

Los equipos de seguridad deben estar atentos a aplicaciones firmadas que carguen DLLs no firmadas desde sus propias carpetas, procesos inesperados generados por WMI y escuchas locales inusuales.

También deben examinar las conexiones cifradas salientes desde programas confiables hacia endpoints de execute-api, especialmente donde un proceso hijo comienza el descubrimiento del sistema.

Correlacionar estas señales con contactos externos recientes en Teams y actividad de Quick Assist puede exponer la operación durante las primeras etapas del compromiso.