Giả mạo nhân viên IT trên Microsoft Teams để lừa cài **EtherRAT**
"Attackers are using fake IT support calls in Microsoft Teams to trick employees into granting remote control and installing legitimate remote administration tools, after which an MSI package deploys the EtherRAT remote access trojan. Unit 42 says EtherRAT is a cross-platform Node.js RAT that uses an Ethereum smart contract for command-and-control, and defenders can look for Teams artifacts such as CtrlVirtualCursorWin_* files and cross-tenant chat activity; no CVE is mentioned."
Tấn công dẫn tới cài EtherRAT và chiếm quyền điều khiển thiết bị; rủi ro mở rộng hậu xâm nhập qua RAT đa nền tảng. Dấu hiệu điều tra gồm CtrlVirtualCursorWin_* và hoạt động cross-tenant chat.
Có thể gây gián đoạn vận hành do máy trạm bị điều khiển từ xa và rò rỉ dữ liệu, đồng thời làm tăng chi phí xử lý sự cố. Tác động phụ thuộc vào mức độ người dùng tin tưởng yêu cầu IT và khả năng kiểm soát cài đặt công cụ quản trị từ xa.
Theo nghiên cứu của Palo Alto Networks Unit 42, kẻ tấn công đang lợi dụng Microsoft Teams bằng các cuộc gọi giả mạo bộ phận hỗ trợ để thuyết phục nhân viên cấp quyền điều khiển từ xa và cài đặt công cụ quản trị hợp pháp. Quy trình bắt đầu từ email lừa đảo ngụy trang khảo sát nhân viên, sau đó nạn nhân nhận cuộc gọi Teams từ một tài khoản tự xưng là IT.
Trong cuộc gọi, kẻ tấn công yêu cầu người dùng chuyển quyền điều khiển thiết bị và cài các phần mềm quản trị từ xa như HopToDesk hoặc AnyDesk. Tiếp theo, một gói cài đặt MSI được tải xuống và dùng để triển khai EtherRAT.
EtherRAT là Node.js RAT chạy đa nền tảng (Windows, Linux, macOS). Thay vì mã hóa cứng máy chủ điều khiển, mã độc lấy địa chỉ C2 từ một Ethereum smart contract, đồng thời có phương án dự phòng bằng tên miền thông thường. Unit 42 cũng ghi nhận dấu vết Teams hữu ích: các file có tiền tố CtrlVirtualCursorWin_* xuất hiện trong phiên điều khiển từ xa, và hoạt động cross-tenant chat (OneOnOne) từ tài khoản bị kiểm soát.
Khuyến nghị: tăng cảnh giác với yêu cầu “cấp quyền điều khiển” qua Teams, siết quy trình xác minh nhân sự IT, hạn chế cài đặt công cụ quản trị từ xa theo chính sách, và rà soát Teams audit logs cùng các file CtrlVirtualCursorWin_* để phát hiện phiên bị thao túng.