Дослідники безпеки компанії Arctic Wolf зафіксували поширення атак соціальної інженерії, у яких зловмисники створюють облікові записи в Microsoft Teams під виглядом внутрішньої IT-підтримки. Для маскування хакери використовують автоматично згенеровані домени Microsoft 365 з назвами на кшталт «helpdeskteam365» або платні домени в зоні .top. Атакам передує масове надсилання підроблених листів на електронну пошту жертв для створення штучного стресу та дезорієнтації.

Після встановлення контакту жертву переконували надати доступ до комп’ютера за допомогою легітимних інструментів віддаленого керування, таких як Quick Assist або TeamViewer. Під час сеансу зловмисники виконували PowerShell-скрипти для завантаження бекдорів, викрадення даних користувачів через Active Directory та подальшого розгортання програм-вимагачів у корпоративній мережі.