Эксперты по кибербезопасности предупреждают, что злоумышленники активно используют ретрансляторы Microsoft Teams для организации командно-контрольной (C2) инфраструктуры, маскируя вредоносный трафик под обычную корпоративную коммуникацию. Группировка DragonForce стала первым оператором программ-вымогателей, применившим эту технику на практике.
По данным исследователей безопасности из компании Symantec, операторы шифровальщика DragonForce использовали ретрансляторы TURN в Microsoft Teams для скрытой передачи C2-трафика. Созданное специально для этой цели вредоносное ПО Backdoor.Turn, разработанное на языке Go, маскировало свою деятельность под стандартные коммуникации Teams. Это стало первым зафиксированным использованием техники «Призрачных звонков» в реальных атаках, что свидетельствует о крайне изощренном подходе к киберпреступности и связях с группировкой Scattered Spider.
Ретранслятор в Microsoft Teams — это сервер, который обеспечивает передачу аудио- и видеоданных, когда прямое соединение между участниками невозможно, например, из-за особенностей корпоративной сети или файрвола.
Как сообщает Symantec, в декабре 2025 года операторы DragonForce атаковали крупную американскую сервисную компанию. Вероятно, они использовали неизвестную уязвимость в SQL- или MSSQL-сервере для получения доступа к целевой сети и, помимо прочего, развернули специализированный троян удаленного доступа (RAT) под названием Backdoor.Turn.
Кто такие DragonForce?
Symantec отмечает, что этот бэкдор использует протокол TURN (Traversal Using Relays around NAT — обход NAT с помощью ретрансляторов) — функцию, которую Teams задействует, когда двум или более участникам не удается установить прямое соединение. Таким образом, защитные системы видят только трафик Teams, который обычно не вызывает подозрений.
Издание BleepingComputer сообщает, что подобная техника, названная Praetorian «Ghost Calls» («Призрачные звонки»), была впервые продемонстрирована в 2025 году. Однако это первый подтвержденный случай её реального использования в кибератаках.
«Backdoor.Turn — это первая известная вредоносная программа на языке Go, использующая ретрансляционные серверы TURN в Microsoft Teams для маскировки трафика управления и контроля», — заявили в Symantec.
Группа DragonForce считается достаточно старой по меркам операторов программ-вымогателей, впервые она была замечена в 2023 году. Её связывают с печально известной хакерской группировкой Scattered Spider. В 2025 году DragonForce переняла модель организации, напоминающую наркокартель.
Предлагая партнёрскую модель «белой этикетки» (white-label), DragonForce позволяет другим использовать свою инфраструктуру и вредоносное ПО, проводя атаки под собственным именем. В этой модели партнёрам не нужно заниматься управлением инфраструктурой, а DragonForce берёт на себя создание сайтов для переговоров, разработку вредоносного ПО и размещение данных, похищенных в результате утечек.
По оценкам Symantec, хакеры, стоящие за этой кампанией, демонстрируют «исключительно изощренные методы киберпреступности». Полный список индикаторов компрометации (IoC) доступен по соответствующей ссылке.
