In questo articolo Indice dei contenuti 2 sezioni
La truffa del falso supporto tecnico su Teams è diventata abbastanza seria da spingere Microsoft a pubblicare un avviso ufficiale sul proprio blog dedicato alla sicurezza. Lo schema è semplice nella forma e devastante negli effetti: un aggressore contatta un dipendente tramite Teams fingendosi un tecnico dell’assistenza informatica interna, tira fuori una scusa credibile come un aggiornamento di sicurezza urgente, un filtro anti spam da reinstallare o una verifica dell’account, e chiede il controllo del computer. Se la persona dall’altra parte dello schermo accetta, la partita è praticamente chiusa.
Il meccanismo non è nuovo. Già nel 2024 erano stati osservati casi analoghi sfruttando Quick Assist o altri strumenti di teleassistenza perfettamente legittimi, gli stessi che ogni azienda usa quotidianamente. Una volta dentro la postazione, l’intruso non si ferma lì: comincia a muoversi lateralmente nella rete aziendale, puntando ai server che gestiscono l’autenticazione di tutto il personale.
Come si muove l’attaccante dopo il primo accesso
Ottenuto il controllo, l’operatore lancia un comando PowerShell che installa in silenzio un pacchetto MSI ospitato su uno spazio di archiviazione cloud intestato a lui. Dentro quel pacchetto c’è la versione ufficiale e portatile di Node.js, l’ambiente di esecuzione JavaScript, che viene poi estratto in una cartella del profilo utente. Nulla di sospetto a prima vista, visto che si tratta di software legittimo.
Il trucco vero arriva dopo. Un collegamento chiamato “EdgeUpdate” viene piazzato nella cartella di avvio di Windows oppure nel registro di sistema, così il codice parte da solo e si confonde con i normali processi di aggiornamento di Microsoft Edge. Da lì l’aggressore mantiene un canale HTTPS con un server remoto, interrogandolo a intervalli volutamente irregolari per non generare pattern riconoscibili, e riceve istruzioni scritte in JavaScript.
Gli analisti di Microsoft hanno visto poi partire una mappatura del dominio Windows tramite i protocolli ADSI e WMI, seguita da interrogazioni verso l’annuario Active Directory. Con il comando rundll32 vengono caricate librerie DLL, e attraverso il protocollo di amministrazione remota WinRM l’intruso si sposta verso i controller di dominio e le autorità di certificazione dell’azienda.
Nel suo intervento Microsoft ha chiarito il punto che rende questa campagna diversa dalle altre: qui non si tratta di rubare una password e sparire. Il risultato è un accesso interattivo e autenticato all’infrastruttura interna, con un operatore umano che interviene in ogni singola fase, letteralmente con le mani sulla tastiera. Il phishing tradizionale, al confronto, sembra quasi artigianale.
Cosa consiglia Microsoft alle aziende
La prima raccomandazione riguarda le persone, non la tecnologia. Microsoft invita le aziende a formare i propri team perché verifichino l’identità di chiunque si presenti come supporto tecnico attraverso un canale convalidato internamente, mai rispondendo direttamente al contatto in entrata ricevuto su Teams. Sembra banale, ma è esattamente il passaggio che salta quando qualcuno è di fretta o sotto pressione.
Sul fronte tecnico, le indicazioni sono tre. Imporre l’autenticazione multifattore tramite Microsoft Entra Conditional Access, limitare il protocollo WinRM alle sole postazioni di amministrazione autorizzate e tenere aggiornato l’elenco degli strumenti di teleassistenza effettivamente in uso in azienda, così da riconoscere subito quelli che non dovrebbero esserci.
Microsoft ha anche messo mano al prodotto. Su Teams è stata integrata una funzione di protezione contro l’usurpazione di marchio, pensata per bloccare questo tipo di approccio già al primo contatto. La distribuzione è iniziata a febbraio per le aziende iscritte al canale di rilascio anticipato. In pratica, prima di rispondere a una chiamata sospetta il dipendente vede comparire un avviso che resta visibile per tutta la durata della conversazione. La protezione è attiva per impostazione predefinita e non richiede alcuna configurazione da parte degli amministratori.
