Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Catena di attacchi con le GIF di Microsoft Teams

Set 09, 2022 Redazione news News, RSS, Vulnerabilità 0

Una nuova catena di attacco permette di eseguire comandi ed esfiltrare dati inviando immagini GIF manomesse attraverso messaggi in Microsoft Teams

Una serie di vulnerabilità in Microsoft Teams può essere concatenata per l’esecuzione di comandi, l’esfiltrazione di dati, l’aggiramento dei controlli di sicurezza e attacchi di phishing. La nuova catena di attacco è stata scoperta dal consulente di sicurezza informatica e pentester Bobby Rauch.

Come spiega un suo articolo, utilizzando questo attacco (denominato GIFShell) un cybercriminale può creare una reverse shell che invia comandi malevoli tramite GIF codificate in Teams. Può quindi esfiltrare l’output tramite GIF recuperate dall’infrastruttura di Microsoft.

Il primo passo consiste nell’indurre la vittima a caricare sul proprio dispositivo un eseguibile malware (stager) che esegue una scansione continua dei registri di Microsoft Teams. Una volta che lo stager è in funzione, un hacker può creare il proprio tenant di Microsoft Teams e contattare altri utenti al di fuori della propria organizzazione.

Può quindi utilizzare uno script, come Python GIFShell creato da Rauch, per inviare a uno dei suoi contatti un messaggio con una GIF appositamente creata, ossia modificata per includere comandi da eseguire sul computer della vittima.

Quando quest’ultima riceve il messaggio, il suo testo e la GIF vengono memorizzati nei registri di Microsoft Team, che lo stager malevolo monitora. Li sfrutta quindi per avviare una catena di eventi che mettono in comunicazione i server di Microsoft con quello dell’aggressore e gli consentono di recuperare l’output dei suoi comandi.

Rauch sottolinea che l’intera catena di attacco e i relativi elementi di progettazione insicuri sono stati segnalati a Microsoft nel maggio e giugno del 2022 ma, dopo 85 giorni di revisione, l’azienda ha deciso di non intervenire per risolverli.

Il ricercatore ritiene però che “soprattutto in ambienti di rete sicuri, in cui Microsoft Teams potrebbe essere uno dei pochi host e programmi consentiti e affidabili, questa catena di attacchi può essere particolarmente devastante“.

Condividi l'articolo