2SDnjc1JCzF
DragonForce спрятала бэкдор в трафике Microsoft Teams
Исследователи Symantec сообщили, что операторы вымогателя DragonForce использовали инфраструктуру Microsoft Teams для маскировки управляющего трафика. В атаке на крупную американскую сервисную компанию злоумышленники развернули кастомный Go-бэкдор Backdoor.Turn, который передавал C2-трафик через TURN-релеи Teams.
TURN-релеи обычно нужны Teams для передачи аудио- и видеотрафика, когда прямое соединение между участниками невозможно из-за NAT, корпоративных сетей или межсетевых экранов. Из-за этого вредоносная активность выглядела как легитимные соединения Microsoft Teams и могла не вызывать подозрений у защитных систем.
По данным исследователей, атака произошла в декабре 2025 года. Первичный доступ, вероятно, был получен через неизвестную уязвимость в SQL или MSSQL-сервере. После закрепления в сети DragonForce использовала Backdoor.Turn для скрытого управления инфраструктурой жертвы.
Техника злоупотребления TURN-релеями ранее описывалась исследователями Praetorian под названием Ghost Calls, но Symantec называет Backdoor.Turn первым известным вредоносом, который применил этот подход в реальной атаке. Это делает кампанию особенно опасной: трафик идет через доверенную корпоративную платформу, которую компании редко блокируют или глубоко анализируют.
DragonForce активна с 2023 года и связывалась с экосистемой Scattered Spider. В 2025 году группировка перешла к «картельной» модели, предлагая партнерам white-label-инфраструктуру для атак, включая сайты переговоров, вредоносное ПО и площадки утечек. Symantec отдельно отметила высокий уровень технической подготовки операторов этой кампании.
похожие материалы
Семь из десяти кибератак в России нарушают работу малого и среднего бизнеса
Семь из десяти успешных целенаправленных атак на малый и средний бизнес нарушили основную деятельности бизнеса.
В России предложили разрешить облачным сервисам и средствам защиты данных работать только с одной операционной системой
Российские власти предложили смягчить требования к совместимости отечественного программного обеспечения с операционными системами.
В России предложили использовать ИИ для блокировки до 95% VPN-сервисов
Российские власти обсуждали возможность использования искусственного интеллекта для выявления и блокировки VPN-сервисов.
Кибершпионаж вместо хактивизма: эксперты уточнили мотивацию группировки Insolent Werewolf
Мотивацию кластера Insolent Werewolf связывали преимущественно с хактивизмом, однако свежие данные указывают на кибершпионаж.
В Екатеринбурге состоится Уральский фестиваль кибербезопасности
26-27 ноября в Екатеринбурге, в кампусе ИРИТ-РТФ УрФУ «Новокольцовский», пройдет Уральский фестиваль кибербезопасности.
Мошенники становятся умнее. Как меняются способы защиты
Технологии развиваются, а вместе с ними растут и угрозы.
В ЕАЭС 15 октября провели первую пилотную перевозку с электронной накладной eCMR
Эксперимент по внедрению электронных международных транспортных накладных (eCMR) в ЕАЭС выходит на новый этап: первой реальной пилотной перевозке с использованием цифрового документа дан старт сегодня, 15 октября, по маршруту Казахстан — Россия.
В криптокошельки Ledger внедряли шпионские чипы: компания остановила продажи в Азии после многомиллионных хищений
Производитель аппаратных криптокошельков Ledger приостановил продажи через авторизованных посредников в Юго-Восточной Азии и Гонконге после обнаружения модифицированных устройств со скрытыми электронными компонентами.
В Telegram обнаружили новую ленту новостей с персональными рекомендациями
Разработчики Telegram готовят новую функцию, которая может существенно изменить привычный способ просмотра публикаций в мессенджере.
«Яндекс» частично восстановил работу рекламных сервисов после атак на дата-центры
«Яндекс» начал восстанавливать доступ к рекламным сервисам, пострадавшим после серии атак беспилотников на дата-центры компании.