Хакери атакуват Microsoft Teams чрез психологически натиск

От декември 2025 г. хакерската група UNC6692 провежда целенасочени атаки срещу потребители на Microsoft Teams, предупреждава Google Threat Intelligence Group (GTIG). Кампанията не използва софтуерни уязвимости, а разчита изцяло на психологически натиск и подвеждане на жертвите.

Атаката започва с масирана имейл бомбардировка, при която пощата на жертвата се залива със спам. Съобщенията не съдържат зловреден код, но създават усещане за проблем със сигурността и объркване. Целта е да се привлече внимание и да се подготви следващият етап.

След това нападателите се свързват през Microsoft Teams, представяйки се за служители от техническа поддръжка. Тонът е професионален, а предложеното „решение“ изглежда правдоподобно – линк към уж необходима актуализация, разположена на Amazon сървър, което допълнително повишава доверието.

Файлът е зловреден. При отваряне се появява прозорец на Edge, който имитира инструмент за поправка. В този момент се инсталира разширението SnowBelt, събиращо пароли и автентикационни токени. Жертвата е подканена да въведе своите данни, което окончателно дава контрол на атакуващите.

С откраднатите идентификационни данни групата поема достъп до акаунта и компютъра. Не са необходими уязвимости в операционната система – цялата верига разчита на човешко доверие, което според GTIG е достатъчно, за да бъдат заобиколени защитните механизми.

След първоначалното проникване се инсталират още два инструмента. SnowGlaze създава WebSocket тунел, който заобикаля защитни стени и осигурява дистанционен достъп. SnowBasin действа като постоянен бекдор за изпълнение на команди и инсталиране на допълнителен софтуер. Компрометираният компютър се превръща в точка за по-нататъшни действия.

UNC6692 не се ограничава до отделни устройства. Т.нар. Snow атака е насочена към цели мрежи. След първоначалното заразяване нападателите сканират инфраструктурата и се разпространяват странично. Фокусът е върху кражба на данни и достъп, които според доклада се извеждат чрез услугата LimeWire и се използват повторно.