Des hackers créent de faux portails Microsoft Teams pour diffuser des malwares

Des attaquants détournent la confiance accordée à Microsoft Teams en créant de faux domaines et des pages quasi identiques à l’interface officielle. Le but est simple, te pousser à cliquer sur un lien de réunion, puis à télécharger une « mise à jour » qui installe une charge malveillante, souvent un cheval de Troie d’accès à distance.

Le schéma vise surtout des profils exposés aux échanges externes, dans la tech, la finance et le conseil. Les chercheurs décrivent des chaînes d’attaque qui mélangent messages Teams, liens de réunion et services légitimes, ce qui brouille les signaux d’alerte. Microsoft et plusieurs sociétés de sécurité mettent en garde contre ces campagnes, parce qu’elles ouvrent la porte au vol de données, à la prise de contrôle de session et à des déploiements de malwares plus lourds.

UNC1069 imite Microsoft Teams pour pousser un faux « update »

Une campagne attribuée au groupe UNC1069, associé à la Corée du Nord, s’appuie sur des domaines qui ressemblent à ceux de Microsoft Teams. Le scénario commence par un lien de réunion crédible, puis tu arrives sur une page qui copie le design Teams, boutons, typographies, messages système. L’objectif est de réduire ton doute au minimum, parce que tout ressemble à un flux de travail normal.

Le piège le plus décrit est un message d’urgence lié au TeamsFx SDK, présenté comme « déprécié » et nécessitant une mise à jour immédiate. Tu penses corriger un souci technique, mais le fichier proposé contient une charge malveillante, souvent un RAT (Remote Access Trojan). Une fois installé, l’attaquant peut garder un accès persistant, aspirer des données sensibles, puis déposer d’autres outils.

Le ciblage n’est pas aléatoire. Les professionnels qui enchaînent réunions, appels et partages de fichiers ont moins de temps pour vérifier une URL, surtout si la demande tombe pendant une journée chargée. Des services considérés comme fiables, par exemple des outils de planification de rendez-vous, peuvent être intégrés au parcours, ce qui ajoute des « points de confiance » successifs. Résultat, la fraude se fond dans la routine, et ton clic devient l’étape décisive.

Des messages « IT Support » sur Teams déclenchent PowerShell et accès à distance

D’autres campagnes ne passent pas uniquement par de faux sites, elles utilisent Teams comme canal de contact direct. Des attaquants créent ou compromettent des tenants, puis t’écrivent en tête-à-tête en se faisant passer pour le support interne, avec des noms du type « Help Desk » ou « IT SUPPORT ». C’est basique, mais ça marche, parce que l’autorité supposée et le contexte professionnel font baisser ta vigilance.

Dans un cas analysé par des chercheurs, Teams sert de vecteur initial pour livrer une charge basée sur PowerShell. Le principe est de te guider, pas à pas, vers une action « technique » présentée comme normale, ouvrir un lien, lancer une commande, installer un outil. Les variantes existent depuis au moins mai 2024, et des rapports publics ont relié des méthodes proches à des campagnes associées à Black Basta.

Microsoft rappelle que l’écosystème Teams attire aussi des acteurs spécialisés, avec des outils dédiés à l’hameçonnage sur messageries d’entreprise. On voit également des approches hybrides, recherche sponsorisée menant à un faux installateur, ou appels Teams qui basculent vers une prise en main à distance. Et là, nuance importante, l’attribution reste délicate, car plusieurs groupes réutilisent les mêmes recettes. Ce qui compte, c’est l’effet, une exécution de code et une escalade rapide.

Quick Assist, AnyDesk, DLL sideloading: la prise de contrôle s’étend au réseau

Une autre mécanique combine pression psychologique et assistance à distance. Des victimes voient leur messagerie inondée, puis un faux technicien propose une solution via Quick Assist. Une fois la session lancée, l’attaquant dépose un malware, dont A0Backdoor a été cité dans des observations récentes. Le but n’est pas seulement de « planter » un fichier, c’est de prendre la main sur la machine pour enchaîner les étapes.

Dans des incidents décrits par des équipes de défense, l’attaquant pousse aussi l’installation d’outils comme AnyDesk après un appel Teams venant d’un domaine externe peu familier. Une fois l’accès obtenu, il peut modifier des sessions de navigateur, récupérer des identifiants en cache et tenter des mouvements latéraux. Un point qui inquiète particulièrement les défenseurs est l’usage de jetons de session actifs, qui peuvent permettre d’accéder à des applications cloud sans déclencher de nouveaux défis MFA.

Sur la partie technique, certaines charges s’appuient sur le DLL sideloading en se déguisant en composants Teams, ce qui facilite l’exécution et la persistance. Les conséquences dépassent le poste compromis, règles de messagerie modifiées, accès non autorisé à des fichiers, relais pour d’autres attaques. La critique à garder en tête est simple, trop d’entreprises traitent Teams comme un canal « sûr par défaut ». Or, un nouvel interlocuteur externe, ou un domaine jamais vu sur une période courte, doit déclencher une vérification immédiate.