Une campagne de phishing sur Microsoft Teams se fait passer pour le support IT interne

Des chercheurs d'Expel, dont Marcus Hutchins, ont documenté une campagne de phishing qui se déroule entièrement sur Microsoft Teams. Les attaquants contactent leur cible en se faisant passer pour le service informatique de sa propre entreprise, puis la dirigent vers l'installation d'un programme présenté comme un outil de nettoyage, « PowerShell Cleaner », au format .MSI. Le fichier est hébergé sur Microsoft Azure, ce qui rend le lien de téléchargement plus crédible qu'un lien vers un site inconnu. L'analyse des dates de compilation situe le début de la diffusion autour du 28 juillet 2026.

Microsoft avait déjà signalé plus tôt cette année la montée de ce type d'usurpation du support informatique comme étape d'entrée dans des attaques à plusieurs phases. La nouveauté ici tient au programme livré une fois l'installation acceptée : un logiciel malveillant inédit qu'Expel a baptisé SynkLoader.

Ce que fait le programme une fois installé

L'installateur .MSI extrait un script PowerShell (cleaner.ps1) et une archive contenant un interpréteur Python complet, un script malveillant et de fausses bibliothèques imitant des composants Microsoft. Selon le profil de la machine infectée, différents modules sont activés :

• PhishLocker affiche un faux écran de verrouillage Windows en plein écran pour capturer le mot de passe de session saisi par la victime.
• TrafficRedirector transforme la machine en relais réseau, permettant aux attaquants d'atteindre des services internes normalement inaccessibles depuis l'extérieur.
• Un module de shell interactif exécute des commandes PowerShell à distance et renvoie leur résultat aux attaquants.
• StreamMaster diffuse l'écran de la victime et permet de prendre la main sur le clavier et la souris de la session active.

Le faux écran de verrouillage comporte un défaut que les chercheurs d'Expel ont identifié : il s'agit d'une simple fenêtre plein écran sans bordure, et non d'un vrai écran de session Windows. Un appui sur Alt+Tab suffit à faire apparaître les fenêtres ouvertes derrière lui, ce qui permet de le démasquer avant de saisir un mot de passe.

Pourquoi Teams est un vecteur efficace

Dans une entreprise de taille moyenne sans équipe informatique dédiée, le support technique est souvent externalisé ou réduit à une seule personne de confiance, jointe au coup par coup. Un message Teams qui se présente comme venant de « l'IT » profite de ce flou : il n'y a pas de procédure établie à laquelle comparer la demande, et Teams reste perçu comme un canal interne, donc a priori sûr. Les chercheurs notent que le choix des modules déployés dépend du profil de l'environnement compromis et des objectifs opérationnels des attaquants, ce qui suggère des opérations préparant des actions ultérieures plutôt que du vol de données isolé.

Ce qu'il faut faire aujourd'hui

La recommandation d'Expel tient en deux réflexes simples, transmissibles à toute l'équipe sans compétence technique particulière :

• Vérifier par un autre canal (téléphone, message direct à une personne identifiée) toute demande d'installation reçue sur Teams, même si elle prétend venir du support informatique.
• Ne jamais installer un fichier .MSI non sollicité, quel que soit l'endroit où il est hébergé.
• Face à un écran de verrouillage Windows qui apparaît de façon inattendue, tester Ctrl+Alt+Suppr ou Alt+Tab avant de taper un mot de passe : la fenêtre malveillante ne se comporte pas comme le véritable écran de session.

Aucune faille logicielle n'est en cause dans cette campagne : elle repose entièrement sur la confiance accordée à un message Teams qui semble légitime. C'est aussi ce qui la rend difficile à bloquer par un outil de sécurité seul, et ce qui rend la vérification humaine plus utile qu'ailleurs.