Ces derniers mois, les appels et messages via Microsoft Teams sont devenus un terrain de chasse pour des groupes criminels. Une campagne récente illustre comment des attaquants peuvent exploiter la Microsoft Teams ingénierie sociale : en se faisant passer pour du support IT, ils obtiennent un accès à distance à des postes internes, puis déploient un rançongiciel, avec parfois un délai extrêmement court.
Selon les éléments rapportés par Sophos (campagne suivie sous le nom STAC4749), l’opération aurait touché des organisations en Amérique du Nord entre février et juin 2026, affectant surtout des entreprises au Canada et aux États-Unis. L’étude décrit un chemin d’attaque structuré : prise de contact sur Teams, persuasion de l’employé, accès distant, mise en place d’un accès persistant, puis chiffrement des données.
Pourquoi la Microsoft Teams ingénierie sociale fonctionne
Le scénario ne repose pas sur une faille technique immédiate, mais sur la confiance. Les fraudeurs se présentent comme des membres de l’équipe IT ou du helpdesk au cours de discussions et d’appels vocaux Teams. Leur but : amener les employés ciblés à lancer une session d’assistance à distance.
Dans les cas observés, les appels ont duré de 90 secondes à plus de 20 minutes, mais la majorité des conversations se termineraient en environ deux à deux minutes et demie. Cette brièveté suggère une stratégie calibrée : dès que la victime accepte, les attaquants passent à l’étape suivante.
La campagne s’appuie aussi sur une mise en scène cohérente. Plutôt que d’utiliser des pratiques vues dans des campagnes passées, l’équipe malveillante a créé des domaines thématiques “IT” sous l’extension .top, par exemple sequrityupdate[.]top, scan-security[.]top, system-connect[.]top, corp-connect[.]top ou supportsoft[.]top.
Enfin, les imposteurs auraient été associés à des identités plausibles (Anthony Brooks, Dylan Harper, Ethan Parker, Jason Mitchell), chacune semblant liée à des éléments de domaine adaptés à ces alias.
De l’appel Teams au contrôle à distance
Le processus d’attaque commence lorsque des comptes Teams externes se font passer pour du support. Les attaquants cherchent ensuite à obtenir l’exécution d’une action précise sur l’équipement de la victime.
Le rapport indique que les criminels visent typiquement deux options :
- Lancer Microsoft Quick Assist pour permettre l’assistance à distance
- Installer un outil supplémentaire de type remote monitoring and management
Quand Quick Assist n’est pas disponible ou bloqué, les attaquants se tournent vers d’autres solutions. À cet égard, Sophos mentionne l’utilisation de RemSupp, et indique qu’au fil du temps la campagne aurait basculé vers cet outil de manière plus dominante à partir d’avril, potentiellement parce qu’il est moins susceptible d’être présent dans les listes d’application bloquées en entreprise.
Une fois l’accès distant obtenu, les attaquants passent à la phase de compromission. Ils utilisent notamment PowerShell pour télécharger un composant malveillant vers le dossier %AppData% de l’utilisateur compromis.
Persistance : rendre l’accès “légitime”
Pour maintenir un contrôle dans la durée, les attaquants installent un mécanisme de persistance. Le rapport décrit une tentative de camouflage : des entrées de registre malveillantes seraient déguisées en composants associés à Realtek et à Windows audio.
Des noms de clés observés ressemblent à “Realtek HD Audio”, “Realtek Audio UHD” ou encore “WinAudio life2”. L’objectif est d’éviter l’alerte d’outils de détection ou la suspicion des équipes lorsqu’elles consultent des éléments système.
Dans certaines intrusions qui ont ensuite mené à l’attaque par rançongiciel, les attaquants auraient aussi mis en place des logiciels d’accès à distance additionnels, tels que DWAgent ou AnyDesk, afin de conserver des options de rebond sur le réseau.
Chaos ransomware : un déploiement parfois très rapide
Le point le plus critique concerne la suite : au moins trois compromissions liées à STAC4749 auraient abouti au déploiement du rançongiciel Chaos. Dans un cas, les attaquants auraient même eu le temps de voler des données avant de chiffrer.
Lors du déploiement, le chiffrement a été réalisé de manière simultanée sur plusieurs appareils compromis. Sur les systèmes touchés, des notes de rançon étaient créées avec un nom du type readme.chaos.txt.
Les messages observés partagent un texte cohérent : ils affirment avoir exfiltré des données et avertissent que celles-ci seront publiées si la rançon n’est pas payée.
Un élément particulièrement alarmant ressort des observations : dans un incident, il s’est écoulé moins de 17 heures entre le premier contact via Microsoft Teams et le moment où les fichiers ont été chiffrés. Sophos estime, avec un haut niveau de confiance, qu’une opération financièrement motivée a soit déployé directement la charge de rançongiciel, soit coordonné son action avec des partenaires.
Quels secteurs ont été touchés
La campagne aurait visé des organisations dans divers domaines. Sophos rapporte que les attaques se concentraient principalement sur des entreprises situées au Canada (50%) et aux États-Unis (45%).
Quant aux secteurs, ceux qui auraient connu le plus grand nombre d’incidents incluent les services, la fabrication, l’énergie, ainsi que la construction et l’ingénierie.
Ce profil souligne un point important : la Microsoft Teams ingénierie sociale n’est pas cantonnée à un type d’organisation. Elle dépend surtout de la capacité à manipuler le comportement humain et à contourner les contrôles autour des outils d’assistance à distance.
Une campagne qui évolue pour réduire la détection
Un autre aspect décrit dans le rapport est la dynamique de la chaîne d’attaque. Entre février et mai, les attaquants auraient modifié le déroulé : changement de noms de fichiers, ajustement des mécanismes de persistance et alternance de méthodes de déploiement.
Cette capacité d’adaptation vise à rendre la détection plus difficile, notamment lorsque les équipes s’appuient sur des règles qui identifient des marqueurs connus ou des comportements constants.
Ce que les équipes de sécurité peuvent tester dès maintenant
Les attaques de ce type passent souvent par des étapes “visibles” pour un utilisateur (un appel, une demande d’assistance, un outil à exécuter), mais “discrètes” côté sécurité si les contrôles ne couvrent pas l’ensemble du parcours. Dans le contexte fourni, il est aussi rappelé qu’une grande partie des intrusions peut continuer sans être détectée tant que la surveillance n’a pas été testée sur des scénarios réalistes.
Concrètement, les équipes peuvent renforcer la résilience en vérifiant plusieurs couches : journalisation des événements clés, règles SIEM/EDR alignées sur les actions attendues lors d’une prise de contrôle à distance, et validation des alertes sur des séquences typiques (contact externe, démarrage d’un outil d’assistance, exécution de scripts, installation de persistance, mouvements internes).
Points clés à retenir
Pour résumer, cette campagne met en lumière une mécanique claire :
- Des imposteurs se font passer pour le support IT via Microsoft Teams.
- Ils poussent les victimes à autoriser une session d’assistance ou à installer un outil.
- Après l’accès à distance, les attaquants déploient un composant malveillant et assurent la persistance via des mécanismes camouflés.
- Dans plusieurs cas, le rançongiciel Chaos a été déployé, parfois en moins de 17 heures.
La meilleure défense contre la Microsoft Teams ingénierie sociale combine sensibilisation, contrôles techniques sur les outils d’accès distant et tests réguliers de détection sur des scénarios plausibles. En agissant sur l’ensemble du parcours, vous réduisez la probabilité qu’une simple conversation suffise à déclencher une compromission totale.
