في الأسبوع الأخير من شهر أغسطس، قام فريق الاستجابة لحوادث الأمن السيبراني Truesec  (CSIRT) بالتحقيق في حملة خبيثة تقدم برامج ضارة عبر رسائل دردشة تحمل موضوع الموارد البشرية باستخدام مايكروسوفت تيمز Microsoft Teams، والتي تم تحديدها على أنها داركجيت لودر DarkGate Loader.

في 29 أغسطس، في الفترة الزمنية من 11:25 إلى 12:25 بالتوقيت العالمي، تم إرسال رسائل دردشة Microsoft Teams من حسابين خارجيين في Office 365 اُخترِقا قبل الحملة. ويهدف محتوى الرسالة إلى إجراء هندسة اجتماعية للمستلمين لتنزيل وفتح ملف ضار مستضاف عن بعد.

يؤدي النقر فوق عنوان URL إلى نقل الضحية إلى مواقع SharePoint حيث يمكن تنزيل الملف "التغييرات على جدول الإجازة.zip"، والذي تم التعرف على الملف لاحقًا بواسطة Microsoft Defender باعتباره برنامجًا ضارًا "BAT/Tisifi.A#".
 

التوصيات
تم اكتشاف هذا الهجوم نتيجة لتدريب المتلقين على الوعي الأمني. لسوء الحظ، لم تتمكن ميزات أمان Microsoft Teams الحالية مثل المرفقات الآمنة أو الارتباطات الآمنة من اكتشاف هذا الهجوم أو حظره. في الوقت الحالي، الطريقة الوحيدة لمنع ناقل الهجوم هذا داخل Microsoft Teams هي السماح فقط بطلبات الدردشة في Microsoft Teams من مجالات خارجية محددة، على الرغم من أنه قد يكون لها آثار تجارية نظرًا لأن جميع المجالات الخارجية الموثوقة تحتاج إلى إدراجها في القائمة البيضاء بواسطة مسؤول تكنولوجيا المعلومات. يمكن العثور على المزيد حول كيفية تنشيط هذه الإعدادات واستخدامها هنا: https://learn.microsoft.com/en-us/microsoftteams/trusted-organizations-external-meetings-chat?tabs=organization-settings