Vishing por Microsoft Teams deriva en ataques de ransomware Chaos
Vishing por Microsoft Teams deriva en ataques de ransomware Chaos
Sophos documentó la campaña STAC4749 contra decenas de organizaciones norteamericanas. Falsos técnicos usan Teams y herramientas legítimas de soporte remoto antes de desplegar puertas traseras y ransomware Chaos.
Soporte técnico falso por Teams
La campaña STAC4749 contacta empleados mediante chats y llamadas de Microsoft Teams, suplanta al equipo de soporte y convence a la víctima de iniciar Quick Assist o instalar RemSupp. Luego los atacantes ejecutan PowerShell, establecen persistencia y agregan herramientas como AnyDesk o DWAgent.
Sophos observó decenas de objetivos entre febrero y junio de 2026; cerca del 95 % estaban en Canadá y Estados Unidos. Servicios, manufactura, energía y construcción estuvieron entre los sectores más afectados.
De la llamada al cifrado en menos de 17 horas
Al menos tres compromisos terminaron con ransomware Chaos. En un caso transcurrieron menos de 17 horas entre el primer contacto y el cifrado, lo que reduce drásticamente la ventana de respuesta.
- Bloquear o restringir comunicaciones externas no solicitadas en Teams.
- Verificar solicitudes de soporte por un canal corporativo independiente.
- Controlar Quick Assist, AnyDesk, DWAgent y otras herramientas remotas.
- Alertar sobre persistencia en registro que imite componentes de audio.
- Aislar de inmediato equipos tras una sesión de soporte sospechosa.
Fuentes y referencias
Esta publicación es una síntesis original. Consulte las fuentes primarias para información técnica completa y actualizaciones.
- 1BleepingComputer ↗prensa especializada
- 2Sophos ↗fabricante
¿Esta amenaza puede afectar a su empresa?
ENERIT puede ayudarle a evaluar exposición, priorizar remediaciones y fortalecer su operación de ciberseguridad.
Hablar con un especialista