MS Teams Relay Server Ransomware Campaign
MS Teams' adoption of Relay Server was detected on the DragonForce ransomware campaign.
According to a report by the website, Security Week mentioned the reemergence of DragonForce ransomware, which at this time used Microsoft Teams' Relay Server to contact C2 or Command and Control through the use of the system's open back door malware type, or a Backdoor called Backdoor.Turn, a malware created with the Go language with the ability to hide the contact between malware and C2 servers. The malware then steals the token for the user, or the Visitor Token is used with the Relay tool to create the connection. Contact Relay Server with Microsoft TURN and then use the session (Session) QUIC to contact the C2 server and then release DragonForce ransomware on the victim's system. This method, a research team from Symantec, a cybersecurity tool developer, said, is a very deep (Sophisticated) approach.
For the malware, the Backdoor, in addition to its deep capabilities, also provides persistence for hackers to access the victim's system. It is also an intermediary for hackers to run Execute Command, steal passwords saved on the victim's web browser, create a process, scan the victim's network, and perform a LDAP / AD layout, as well as spread ransomware to the connected system (Lateral Movement) with stolen passwords.
จากประสบการณ์การติดตามข่าวสารด้านความปลอดภัยไซเบอร์และทำงานร่วมกับผู้เชี่ยวชาญหลายท่าน พบว่าการที่แรนซัมแวร์ DragonForce ใช้เซิร์ฟเวอร์ Relay ของ MS Teams ในการโจมตีเป็นการพัฒนารูปแบบที่ซับซ้อนและยากต่อการตรวจจับอย่างมาก ซึ่ง Relay Server หรือเซิร์ฟเวอร์ถ่ายทอดที่ MS Teams ใช้เป็นช่องทางในการสื่อสารทำให้แฮกเกอร์สามารถซ่อนกิจกรรมของมัลแวร์ภายใต้การเชื่อมต่อปกติได้ ความน่าสนใจคือมัลแวร์ Backdoor.Turn ซึ่งพัฒนาด้วยภาษา Go มีฟีเจอร์ล้ำสมัยในการขโมย Visitor Token เพื่อนำไปใช้สร้างช่องทางเชื่อมต่อกับ Relay Server ผ่านโปรโตคอล Microsoft TURN และเซสชัน QUIC ซึ่งส่วนนี้ทำให้การติดต่อกับเซิร์ฟเวอร์ Command and Control (C2) ดูเหมือนเป็นทราฟฟิกปกติ นอกจากนี้ ความสามารถในการสร้างความคงทนต่อระบบ (Persistence) ของมัลแวร์นี้ ช่วยให้แฮกเกอร์สามารถรันคำสั่ง, ขโมยรหัสผ่านจากเว็บเบราว์เซอร์, สร้าง Process ใหม่ ไปจนถึงการสแกนและทำแผนผัง LDAP/AD ของระบบเครือข่ายเพื่อแพร่กระจายแรนซัมแวร์ ด้วยเทคนิค Lateral Movement ที่ใช้รหัสผ่านที่ขโมยมาทำให้การโจมตีนั้นแพร่หลายและรวดเร็วขึ้น จากการที่หลายองค์กรใช้งาน Microsoft Teams อย่างแพร่หลาย การโจมตีช่องทางนี้จึงเป็นภัยที่องค์กรไอทีควรให้ความสำคัญในการป้องกัน เช่น การอัปเดตแพตช์เครื่องเซิร์ฟเวอร์อย่างสม่ำเสมอ, การตรวจสอบพฤติกรรมการใช้งานที่ผิดปกติ, และการใช้งานโซลูชันด้านความปลอดภัยขั้นสูงที่สามารถระบุการเชื่อมต่อ Relay Server ในการโจมตีได้ นอกจากนี้ แนะนำให้ผู้ดูแลระบบเพิ่มการฝึกอบรม เช่น การยกระดับความรู้เรื่องการโจมตีผ่านมัลแวร์และแรนซัมแวร์ เพื่อเพิ่มความตระหนักรู้และตอบสนองได้รวดเร็วทันเหตุการณ์ ความรู้และการตรวจจับเชิงลึกนี้จะช่วยลดความเสี่ยงจากเทคนิคใหม่ ๆ ที่มีความซับซ้อนเหมือนที่แรนซัมแวร์ DragonForce ใช้ในครั้งนี้
