Кампания TeamFiltration взломала семь учётных записей Microsoft 365 через пароли по умолчанию

Исследователи Proofpoint раскрыли подробности активной кампании, использующей инструмент TeamFiltration. Операция под кодовым именем UNK_CondorFiltration нацелилась более чем на 5700 учётных записей в 28 тенантах Microsoft 365, сосредоточившись в первую очередь на чилийских розничных сетях и финансовых организациях. Источником атаки стали 1487 уникальных IP-адресов инстансов AWS EC2.

Из всех атакованных аккаунтов были скомпрометированы лишь семь — и ни один из них не принадлежал конкретному сотруднику. Все семь оказались бесхозными функциональными или сервисными учётными записями со стандартными или ни разу не менявшимися паролями и без многофакторной аутентификации. По словам Proofpoint, это указывает на критический пробел: забытые «нечеловеческие» идентичности остаются структурно незащищённой поверхностью атаки.

Три волны

Кампания разворачивалась в три этапа с конца июля по август 2026 года. С 21 по 24 июля перебор шёл против двух крупных чилийских банков — по 100–120 уникальных аккаунтов в день. С 26 по 28 июля атака была направлена на ещё одно финансовое учреждение, достигнув пика около 1520 аккаунтов 27 июля. Наконец, с 13 по 16 августа под удар попал крупный ритейлер (на него в целом пришлось 78,3% всех наблюдавшихся событий аутентификации): пик около 1560 аккаунтов 15 августа, и именно эта волна привела к семи успешным взломам.

Злоумышленники, судя по всему, применяли распыление паролей, используя учётные данные по умолчанию — в том числе выданные ИТ-отделами и никогда не обновлявшиеся. Целью были именно спящие сервисные аккаунты: обычных пользователей регулярно принуждают менять пароли, а служебные записи, заведённые для бизнес-процессов, остаются без присмотра со своими исходными паролями. Шесть из семи взломов произошли менее чем за семь минут — это говорит скорее об общем стандартном пароле, чем о точечном подборе.

Инструмент и действия после взлома

TeamFiltration — легальный кроссплатформенный наступательный фреймворк для перечисления, распыления паролей, эксфильтрации данных и установки бэкдоров в аккаунты Entra ID. После проникновения атакующие обращались к Microsoft Office, OneDrive и Teams, что может указывать на сбор и вывод данных, — хотя сами по себе события входа не доказывают эксфильтрацию.

Менее чем через две минуты после успешного входа оператор переключался на немецкий VPN-узел, чтобы прощупать корпоративный VPN, зайти в Azure Portal, просмотреть SharePoint Online и запросить токены Microsoft Graph API.

Это уже не первое злонамеренное применение TeamFiltration: в июне 2025 года Proofpoint описывала кластер UNK_SneakyStrike, атаковавший более 80 000 учётных записей в сотнях организаций. Вывод компании прост: самое слабое звено периметра идентичности — часто не фишинг сотрудника и не уязвимость нулевого дня, а забытая учётная запись, заведённая ради удобства и никогда более не проверявшаяся.

Источник: The Hacker News