Zoom и Teams превращаются в туннель для хакеров: новая техника Ghost Calls уходит от всех защит

На конференции BlackHat USA представили свежую технику постэксплуатации под названием Ghost Calls, которая позволяет злоумышленникам использовать инфраструктуру Zoom и Microsoft Teams в качестве командно-контрольных каналов (C2) — и всё это без единого взлома, с обходом большинства корпоративных защит.

Суть приёма в том, что атакующие используют TURN-серверы, предназначенные для видеозвонков и VoIP, чтобы создать скрытый канал WebRTC между заражённой машиной и управляющим сервером. Такой трафик визуально ничем не отличается от обычной онлайн-встречи и проходит сквозь корпоративные фаерволы и системы TLS-инспекции как легальный.

Вместо того чтобы использовать свои домены, злоумышленники прокладывают весь C2-трафик через доверенные IP-адреса Zoom и Teams. Благодаря шифрованию WebRTC, UDP/TCP по 443 порту и отсутствию подозрительных DNS-запросов, атака остаётся практически незаметной даже для опытных SOC-аналитиков.

Исследователь Адам Кроссер из компании Praetorian разработал для этого утилиту с открытым исходным кодом — TURNt, в которой реализована связка Controller (на стороне атакующего) и Relay (на скомпрометированной машине). В связке они создают полноценный SOCKS-прокси через TURN-серверы, позволяя не только туннелировать трафик, но и эксфильтровать данные, устраивать скрытый VNC-доступ и оборачивать любые команды в «безобидный звонок».

Хотя сама по себе техника не использует уязвимостей Zoom или Teams, она превращает их инфраструктуру в маскирующий слой для операций, в том числе APT-уровня. Вендоры пока не прокомментировали, собираются ли как-то закрыть такую возможность — но киберпреступники и Red Team уже взяли Ghost Calls на заметку.