- Symantec confirme que les opérateurs du ransomware DragonForce ont utilisé les relais TURN de Microsoft Teams pour du trafic C2 dissimulé
- Un RAT personnalisé basé sur Go, « Backdoor.Turn », a masqué des activités malveillantes sous l’apparence de communications Teams classiques
- Première utilisation observée dans la nature de la technique « Ghost Calls » ; la campagne révèle un savoir-faire très avancé avec des liens vers Scattered Spider
Des experts avertissent que des cybercriminels utilisent les relais de Microsoft Teams comme infrastructure de commande et contrôle (C2), en mêlant le trafic malveillant aux communications d’entreprise légitimes.
Dans Microsoft Teams, un relais est un serveur qui permet d’acheminer le trafic audio et vidéo lorsqu’une connexion directe entre participants n’est pas possible (par exemple, sur un réseau d’entreprise ou derrière un pare-feu).
Selon les chercheurs en sécurité de Symantec, en décembre 2025, des opérateurs de ransomware DragonForce ont ciblé une grande entreprise de services américaine, en exploitant probablement une faille inconnue dans un serveur SQL ou MSSQL pour s’introduire dans le réseau cible et, entre autres, déployer un malware de type porte dérobée personnalisé appelé « Backdoor.Turn ».
Qui est DragonForce ?
Symantec indique que cette porte dérobée exploite le protocole Traversal Using Relays around NAT (TURN), une fonctionnalité utilisée par Teams lorsque deux (ou plusieurs) participants ne peuvent pas établir de connexion directe. De cette manière, les défenseurs ne voient que du trafic Teams, qui n’est généralement pas examiné en détail.
BleepingComputer précise que cette technique a été présentée pour la première fois en 2025 par Praetorian, qui l’a nommée « Ghost Calls ». Toutefois, il s’agit ici de la première utilisation réelle observée.
« Backdoor.Turn, un RAT basé sur Go, est le premier malware connu à exploiter les serveurs relais TURN de Microsoft Teams pour masquer le trafic de commande et contrôle », indique Symantec.
DragonForce est un groupe ancien à l’échelle du ransomware, repéré pour la première fois en 2023. Il est lié à l’organisation Scattered Spider et a adopté en 2025 un modèle inspiré des cartels de drogue.
En proposant un modèle d’affiliation en marque blanche, le groupe permet à d’autres d’utiliser son infrastructure et ses malwares tout en menant des attaques sous leur propre nom. Avec ce modèle, les affiliés n’ont pas à gérer l’infrastructure, DragonForce se charge des sites de négociation, du développement des malwares et des plateformes de fuite de données.
Symantec précise que les attaquants à l’origine de cette campagne « utilisent des techniques cyber extrêmement sophistiquées ». Une liste complète des indicateurs de compromission (IoC) est disponible via ce lien.
- Les meilleurs outils anti-malware : un véritable arsenal pour tous les budgets
- Meilleurs antivirus : quelle solution gratuite, premium ou business choisir ?