Изследователи по киберсигурност разкриха подробности за активна кампания с TeamFiltration с кодово име UNK_CondorFiltration, насочена към над 5 700 акаунта в 28 Microsoft 365 тенанта.

Според Proofpoint дейността е била фокусирана главно върху чилийски търговски и финансови институции. Тя е произлязла от 1 487 уникални IP адреса от AWS EC2.

„Кампанията е компрометирала 7 акаунта – всички от които са били неуправлявани функционални или служебни акаунти, а не индивидуални акаунти на служители – което подчертава критична празнина в сигурността около забравени, нечовешки identities, носещи пароли по подразбиране или ротирани пароли и без MFA [многофакторна автентификация]“, заяви компанията за корпоративна сигурност в съобщение.

Съобщава се, че кампанията за атака с груба сила срещу Microsoft 365 се е развила в три различни вълни от края на юли до август 2026 г., като неназован чилийски търговец е поел 78,3% от всички наблюдавани събития за автентификация -

  • 21-24 юли, насочена към приблизително 100–120 уникални акаунта на ден и насочена срещу две големи чилийски банкови институции
  • 26-28 юли, достигаща пик от около 1 520 акаунта на 27 юли, преди да спадне рязко, насочена срещу друга голяма чилийска финансова институция
  • 13-16 август, достигаща пик от около 1 560 акаунта на 15 август и насочена срещу голям чилийски търговец, което води до компрометирането на седем акаунта

Доказателствата показват, че атакуващият най-вероятно е извършил атака тип password spraying с пароли по подразбиране, включително идентификационни данни, предоставени от ИТ екипи и никога несменяни. Дейността е била насочена основно към неактивни служебни акаунти, за разлика от личните акаунти на служителите, тъй като от потребителите се изисква периодично да сменят паролите си.

Тези служебни акаунти, според Proofpoint, са били създадени за изпълнение на бизнес операции и след това са оставени без наблюдение, докато все още са съдържали първоначалните си данни за достъп. Всяко успешно компрометиране е свързано с ненаблюдавани служебни акаунти с парола по подразбиране.

Шест от седемте компрометирани акаунта са били пробити в рамките на 7 минути, което вероятно показва споделен комплект от пароли по подразбиране, а не индивидуална атака с компрометирани пароли.

Дейността се характеризира с използването на TeamFiltration – легитимна кросплатформена офанзивна рамка, предназначена за изброяване, password spraying, извличане на данни и инсталиране на задни врати в Entra ID акаунти. Тя позволява на оператора да потвърждава имейл акаунти, да тества популярни или целеви пароли в изброените акаунти, да събира чувствителни данни и да получава скрит, интерактивен достъп до OneDrive.

При повечето компрометирани акаунти атакуващият е използвал достъпа, за да влезе в Microsoft Office, OneDrive и Teams, което потенциално показва събиране и източване на данни. Въпреки това, самите събития на вход не могат да се приемат като доказателство за източване.

По-малко от 2 минути след успешното компрометиране е забелязано, че операторът преминава към германски VPN възел, за да сондира корпоративния VPN („vpn.[redacted].cl/SAML20/SP“), да осъществи достъп до Azure Portal, да разгледа SharePoint Online и да инициира заявки за токени към Microsoft Graph API.

Това не е първият път, когато TeamFiltration се използва при злонамерени атаки. През юни 2025 г. Proofpoint описа друг клъстер от заплахи, наречен UNK_SneakyStrike, който е атакувал над 80 000 потребителски акаунта в облачните среди на стотици организации, използвайки същия инструмент с отворен код за тестове за проникване.

„Кампанията UNK_CondorFiltration е напомняне, че едно от най-слабите звена в периметъра на сигурността на дадена организация често не е фишингнат служител или уязвимост от тип нулев ден“, заявиха от Proofpoint. „Това е забравеният акаунт. Служебните акаунти, създадени за удобство и никога непреразгледани, представляват структурно незащитена повърхност за атака.“