O campanie cibernetică sofisticată, detectată în iulie 2025, exploatează apelurile Microsoft Teams pentru a distribui ransomware-ul Matanbuchus. Atacatorii se dau drept personal IT și folosesc ingineria socială pentru a convinge angajații să ruleze scripturi malițioase. Prin activarea Quick Assist, victimele sunt manipulate să execute comenzi PowerShell, instalând Matanbuchus 3.0.

Matanbuchus, disponibil ca Malware-as-a-Service (MaaS) din 2021, a fost semnificativ îmbunătățit în a treia sa iterație. Acest loader sofisticat este conceput să descarce și să execute sarcini utile secundare pe sistemele Windows compromise, servind ca punct de intrare critic pentru atacuri ce culminează cu ransomware. Noua versiune include protocoale de comunicare optimizate, tehnici avansate de ofuscare și capacități extinse de recunoaștere a sistemului.

Această metodologie de atac subliniază o tendință îngrijorătoare de utilizare a platformelor legitime de comunicare în scopuri malițioase. Primind apeluri de suport IT aparent autentice prin Microsoft Teams, victimele sunt păcălite să execute instrucțiuni dăunătoare. Campania demonstrează evoluția mecanismelor de livrare a ransomware-ului, unde atacurile tradiționale de phishing sunt completate de comunicarea directă prin platforme de încredere. Combinația de inginerie socială și sofisticarea tehnică a Matanbuchus 3.0 creează o amenințare formidabilă, capabilă să ocolească controalele de securitate tradiționale.

Sfaturi de Protectie

1. Actualizați Constant Sistemele și Software-ul

Menținerea sistemelor de operare și a tuturor aplicațiilor la zi este crucială pentru securitate. Actualizările conțin adesea patch-uri pentru vulnerabilități recent descoperite care, dacă sunt lăsate necorectate, pot fi exploatate de atacatorii de ransomware.

Pe Windows:

• Accesați Windows Update: Deschideți Start > Setări > Actualizare și securitate > Windows Update.
• Verificați și instalați actualizările: Dați click pe "Căutați actualizări" și instalați tot ce este disponibil. Reporniți sistemul când vi se cere.
• Asigurați-vă că actualizările automate sunt activate pentru a primi patch-uri critice imediat.

Pe Linux (Ubuntu/Debian):

• Deschideți un terminal (de obicei, Ctrl + Alt + T).
• Actualizați lista de pachete: sudo apt update
• Instalați actualizările disponibile: sudo apt upgrade -y
• Pentru actualizări majore (ex: kernel): sudo apt dist-upgrade -y, apoi reporniți sistemul.

Pe macOS:

• Actualizați sistemul de operare: Meniul Apple () > Preferințe sistem > Actualizare software. Instalați tot și reporniți.
• Actualizați aplicațiile din App Store: Deschideți App Store și accesați "Actualizări".

2. Verificați Riguros Identitatea Apelantului în Microsoft Teams

Fii mereu sceptic cu privire la apelurile neașteptate pe Teams, chiar dacă par să vină de la departamentul IT al companiei tale. Atacatorii folosesc tactici de inginerie socială pentru a te păcăli.

Protocol de Verificare:

• Dacă primiți un apel pe Microsoft Teams de la "Suport IT" care vă cere să instalați ceva sau să rulați comenzi, NU continuați conversația tehnică.
• Spuneți politicos că veți verifica solicitarea și închideți apelul Teams.
• Contactați departamentul IT folosind un canal oficial cunoscut al companiei: sunați la numărul de telefon intern al suportului IT (nu cel dat de apelant), trimiteți un e-mail la adresa oficială a departamentului (ex: suport.it@companie.ro), sau deschideți un tichet prin sistemul intern de helpdesk.
• Confirmați dacă solicitarea inițială este legitimă prin acest canal alternativ.

3. Blocarea Execuției Scripturilor Necunoscute (PowerShell, CMD)

Nu rulați niciodată scripturi sau comenzi pe care nu le înțelegeți pe deplin sau care nu sunt specificate în proceduri interne de încredere. Instrumente precum PowerShell sunt extrem de puternice și pot fi folosite de ransomware pentru a compromite rapid sistemul.

Politică Utilizator:

• Refuzați orice solicitare de a rula comenzi PowerShell, cmd sau alte scripturi complicate dacă nu sunteți un specialist IT și nu ați primit instrucțiuni clare și verificate prin canale oficiale.
• Dacă un "reprezentant IT" vă cere să introduceți o comandă suspectă (ex: powershell.exe), refuzați imediat și raportați.

Pentru Echipele IT (Administrare Centralizată):

• Implementați Application Whitelisting pentru a permite rularea doar a programelor și scripturilor aprobate.
• Configurați PowerShell să ruleze în Constrained Language Mode pe stațiile de lucru pentru a limita funcționalitățile periculoase.

4. Gestionarea Strictă a Accesului la Distanță (ex. Quick Assist)

Uneltele de acces la distanță, cum ar fi Quick Assist, pot fi exploatate de atacatori pentru a obține controlul direct asupra sistemului tău și a implementa ransomware.

Politică Utilizator:

• NU permiteți niciodată nimănui să preia controlul computerului dvs. dacă nu ați verificat riguros identitatea și legitimitatea lor prin canale alternative.
• Dacă sunteți obligat să acordați acces (pentru suport IT legitim), monitorizați cu atenție fiecare acțiune efectuată de persoana de la distanță.
• Revocați accesul imediat după finalizarea sarcinii și închideți aplicația de acces la distanță (ex: închideți fereastra Quick Assist).

Pentru Echipele IT (Administrare Centralizată):

• Dacă nu este absolut necesar, dezactivați sau restricționați utilizarea Quick Assist sau a altor unelte similare (TeamViewer, AnyDesk) pe stațiile de lucru prin Grup Policies (GPO) sau Microsoft Intune.

5. Implementarea Autentificării Multi-Factor (MFA) pe Conturi Cheie

MFA adaugă un strat suplimentar de securitate, făcând mult mai dificilă compromiterea conturilor chiar dacă atacatorii obțin parola.

• Activare MFA: Activați MFA pe toate conturile, în special pe cele cu privilegii înalte (administratori) și pe platformele de comunicare esențiale precum Microsoft Teams și contul Microsoft 365. (Setari - Securitate/Confidentialitate - 2FA)
• Metode de MFA: Folosiți aplicații de autentificare (ex: Microsoft Authenticator, Google Authenticator) sau token-uri hardware, nu SMS-uri, deoarece SMS-urile pot fi interceptate.

6. Utilizați Soluțiile de Securitate Endpoint Robuste (EDR/Antivirus)

O soluție antivirus sau o platformă EDR (Endpoint Detection and Response) modernă reprezintă prima linie de apărare împotriva executării ransomware-ului.

• Implementare EDR (pentru IT): Asigurați-vă că organizația are o soluție EDR instalată pe toate stațiile de lucru. EDR-ul monitorizează continuu activitatea sistemului pentru comportamente suspecte, cum ar fi tentativele de criptare sau de comunicare cu servere de comandă și control.
• Asigurarea Actualizării: Verificați regulat (sau asigurați-vă că este automat) ca soluția EDR/Antivirus să aibă cele mai recente definiții de viruși și componente actualizate.
• Nu Dezactivați: Nu dezactivați niciodată temporar soluția de securitate la cererea unui apelant "IT" – aceasta este o tactică obișnuită a atacatorilor de ransomware.

7. Conștientizați Metodele de Inginerie Socială și Raportați Imediat

Atacatorii creează un sentiment de urgență sau oferă soluții "rapide" pentru a te presa să acționezi fără să gândești critic. Matanbuchus se bazează puternic pe această manipulare.

Educație Continuă: Participă la sesiuni de training despre ingineria socială. Învață să recunoști semnele de presiune ("Trebuie să facem asta acum, altfel contul tău va fi blocat!"), amenințările sau ofertele neobișnuite.

Acțiune Rapidă:

• Dacă suspectezi un apel de inginerie socială, NU interacționa dincolo de a închide.
• Raportează imediat incidentul departamentului de securitate IT al companiei sau superiorului, oferind cât mai multe detalii (ID-ul apelantului de pe Teams, ora, cererile făcute).

8. Backupuri Regulate și Izolate (Regula 3-2-1)

Backupurile sunt ultima linie de apărare împotriva ransomware-ului. Ele permit recuperarea datelor fără a plăti răscumpărarea.

Regula 3-2-1:

• Creați 3 copii ale datelor (originalul + 2 copii).
• Pe 2 tipuri diferite de medii de stocare (ex: disc local, NAS, cloud).
• 1 copie stocată offline sau într-o locație inaccesibilă de către rețeaua activă. Acest lucru este crucial pentru a preveni criptarea backupurilor de către ransomware.

9. Monitorizarea Traficului de Rețea și a Jurnalelor de Evenimente

Anomaliile în traficul de rețea sau în jurnale pot indica o intruziune sau o activitate de ransomware.

Monitorizare Centralizată (pentru IT): Organizațiile ar trebui să folosească un sistem SIEM (Security Information and Event Management) sau XDR (Extended Detection and Response) pentru a colecta și analiza jurnalele de evenimente de la stațiile de lucru și servere.

Alerte pentru Activități Suspecte: Configurați alerte pentru:

• Crearea de sarcini programate neobișnuite (cum ar fi "EventLogBackupTask" folosit de Matanbuchus).
• Comunicații cu domenii C2 (Command and Control) necunoscute sau suspicioase.
• Trafic de rețea cu user-agent-uri false (ex: traficul Matanbuchus care imită Skype/8.69.0.77).

10.  Informați-vă Constant și Adaptați-vă Strategiile

• Peisajul amenințărilor cibernetice este într-o continuă schimbare. E crucial să fiți la curent cu noile tipuri de atacuri, vulnerabilități și tactici folosite de infractori.
• Participați la webinarii, citiți rapoarte de securitate și faceți schimb de experiență cu alți profesioniști. Numai prin informare și adaptare continuă veți putea dezvolta și menține un plan de apărare eficient, capabil să țină pasul cu provocările în evoluție.

Pentru mai multe sfaturi și informații despre securitatea cibernetică, vizitează regulat sigurantapenet.ro

Sursa