Teams-вишинг вернулся — и он может быть прикрытием для state-backed операции

Rapid7 описала атаку через Microsoft Teams: vishing, screen-sharing, кража credentials, обход MFA и «ransomware» как прикрытие.

2026-05-15 GIGATAP Team #security
#MuddyWater#Microsoft Teams#social engineering

Teams-вишинг вернулся — и он может быть прикрытием для state-backed операции

Расследование Rapid7 описало таргетированное вторжение, в котором Microsoft Teams использовался как точка входа: атакующие инициировали внешние chat requests, убеждали сотрудников подключиться к screen-sharing sessions, похищали credentials и манипулировали multi-factor authentication (MFA). Активность была связана с Iranian-linked группой, которую обычно отслеживают как MuddyWater (также известна как Mango Sandstorm, Seedworm и Static Kitten), и была представлена как «false flag» ransomware-операция — спроектированная так, чтобы выглядеть как оппортунистическое вымогательство, но при этом обслуживать стратегическую цель.

Что известно и что, по словам Rapid7, произошло#

Rapid7 сообщила, что наблюдала кампанию в начале 2026 года. Ключевая тема здесь — не новый exploit. Это последовательная social engineering-атака с активным участием оператора, проведенная внутри инструмента, который большинство организаций воспринимает как «обычный рабочий канал».

Согласно описанию Rapid7, цепочка вторжения выглядела так:

  • атакующий инициирует external chat requests через Microsoft Teams, чтобы связаться с сотрудниками;
  • разговор переходит в интерактивный screen-sharing, где атакующий может в реальном времени направлять действия пользователя;
  • во время этой сессии похищаются credentials, а MFA подвергается манипуляции (формулировка Rapid7 указывает, что атакующий использовал сессию, чтобы заставить жертву подтвердить prompts или иным образом помочь обойти MFA);
  • получив доступ, атакующий использует скомпрометированные account(s) для reconnaissance и расширения доступа;
  • вместо классического ransomware-сценария с шифрованием больших объемов файлов атакующий делает ставку на data exfiltration и долгосрочную persistence;
  • persistence закрепляется через remote management tools, такие как DWAgent; Rapid7 также упоминала AnyDesk как минимум в одном случае;
  • с жертвой связываются по email для переговоров о выкупе.

Rapid7 также описала дополнительные технические детали, которые больше похожи на поэтапное вторжение, чем на быстрый smash-and-grab. Было замечено, что атакующий использовал RDP и команду curl для загрузки executable с именем ms_upd.exe с внешнего сервера (172.86.126[.]208). По данным отчета, запуск инициировал multi-stage chain, которая собирала system information, обращалась к command-and-control (C2) и сбрасывала дополнительные компоненты, включая файлы с именами game.exe, WebView2Loader.dll и visualwincomp.txt. Rapid7 охарактеризовала часть этой активности как bespoke RAT, маскирующийся под легитимное приложение и использующий trojanized Microsoft WebView2 sample project.

Некоторые части перепубликованного исходного текста обрезаны, поэтому список компонентов и их названия стоит воспринимать как неполный контекст, а не как полноценный malware write-up.

Почему это важно: «ransomware» может быть щитом для attribution#

Самый практически полезный вывод здесь — не название бренда, прикрепленного к записке о выкупе. Важно то, как смешиваются разные элементы tradecraft.

Формулировка Rapid7, согласно цитированию, состоит в том, что оператор «обошел традиционные ransomware workflows», отказавшись от массового file encryption в пользу exfiltration и persistence через распространенные remote management-инструменты. Этот выбор важен, потому что он меняет то, что должны искать защитники:

  • если вы срабатываете только на bulk encryption behavior, вы можете ничего не увидеть;
  • если вы воспринимаете remote admin tooling как «IT stuff», вы можете пропустить слой persistence;
  • если вы считаете, что «ransomware-as-a-service (RaaS)» означает шумный, оппортунистический crimeware, вы можете недооценить вероятность таргетированной state-backed цели.

Отчет также указывает на более широкий тренд: использование off-the-shelf tools и брендов из crime ecosystem, чтобы усложнить attribution. В том же источнике цитируются и другие исследователи — Ctrl-Alt-Intel, Broadcom, Check Point и JUMPSEC, — которые в последние месяцы наблюдали, как MuddyWater опирается на underground tooling.

Концепция «false flag» здесь практическая, а не кинематографичная. Она означает, что defenders и incident responders могут быть направлены к неправильному playbook: вести переговоры с «ransomware gang», сосредоточиться на encryptor, который так и не появится, и упустить более долгоживущий доступ, позволяющий стратегический сбор данных.

Teams как initial access vector — это проблема политики, а не zero-day#

Microsoft Teams используется как канал доставки social engineering, потому что он уже считается доверенным, интерактивен, а пользователям сложно отличить «легитимную внутреннюю помощь» от внешнего разговора, когда external chat разрешен.

Описание Rapid7 подчеркивает знакомое психологическое преимущество: screen-sharing резко снижает трение. Атакующему не нужно отправлять сложную phishing page, если он может:

  • провести пользователя по шагам;
  • попросить его ввести credentials в локальный файл, как описывала Rapid7;
  • и подсказать, как одобрить MFA prompts.

Это также создает пробел в логировании и visibility. У многих организаций уже зрелые controls для email phishing и web proxies, но более слабое detection вокруг:

  • external Teams chat requests;
  • необычных screen-sharing sessions;
  • или внезапн