Teamsの偽ITサポートがQuick Assistを悪用、ランサムウェア攻撃にも発展
大量のスパムメール送信後、TeamsでITサポートを装いリモートアクセスへ誘導
攻撃者が従業員の受信トレイにニュースレターや購読確認メールを数百通送り付けた直後、Microsoft TeamsでITサポート担当者になりすまし、リモートアクセスへ誘導する攻撃が確認されている。Arctic Wolfは、Teamsの外部チャット機能を悪用した事例を400件以上記録した。このうち一部の侵入は、認証情報の窃取やデータ流出、ランサムウェア攻撃につながっている。攻撃者は、Teams上のメッセージがメールよりも警戒されにくい可能性を利用していたとみられる。
この攻撃は、Teamsの既知の脆弱性を悪用するものではない。双方のMicrosoft 365テナントで外部アクセスが許可されていれば、別のテナントのユーザーが従業員を検索し、チャットや通話を行えるという正規の機能を悪用している。攻撃者は大量のスパムメールを送信してから数分以内に被害者へ連絡し、メールに関する問題を解決すると持ちかけていた。
確認された事例の30～40％では、無料の「onmicrosoft.com」テナントが使用されていた。攻撃者はテナントに「helpdeskteam365」や「itcoreportal」など、ITサポート組織を連想させる名前を付けていた。また、外部ユーザーであることを示す表示が残っているにもかかわらず、表示名に「Internal」を追加したり、「IT Service Desk (Matthew)」のように社内の担当者を思わせる名前を使用したりしていた。対象者の現地語でメッセージを送る事例も確認されている。
最近では、被害企業の名称やドメインを表示名に含める手口も見られる。Arctic Wolfは、盾やレンチの絵文字を含む名前を100件以上確認しており、アカウントの作成にAIツールが使用された可能性を示す手掛かりとみている。
攻撃者が独自に取得したドメインを使用する傾向も確認されている。調査で確認された偽装用ドメインのうち、約50％が「.top」、約40％が「.com」を使用していた。また、5％強では「.com.pl」「.com.vn」「.com.br」など、複数の階層を持つドメインが使われていた。
被害者がメッセージに応答すると、攻撃者は多くの場合、Teamsの音声通話に切り替えてリモートアクセスを要求した。最も頻繁に悪用されたのは、Windowsに標準搭載されている「Quick Assist」だった。攻撃者は被害者に6桁の接続コードを入力させることで、遠隔操作のセッションを確立できる。ほかにもAnyDeskやScreenConnectが使用されていた。
最初に導入したツールが削除されてもアクセスを維持できるよう、別のリモートアクセスツールを追加でインストールする事例も多かった。攻撃者が約5分間のうちに複数のユーザーを同時に標的とするケースも確認されている。被害者が会話に応じてからマルウェアが実行されるまで、15分もかからない場合があった。また、一部の事例では、最初のTeamsチャット通知とほぼ同時に認証情報の窃取を示すアラートが発生していた。
攻撃者はTeamsのチャットに悪意のあるリンクを投稿する代わりに、確立したリモートセッションを通じてファイルを直接ダウンロードする手法も使用していた。これにより、チャット履歴に悪意のあるURLなどの痕跡を残さず、検知につながる手掛かりを減らしていた。
ある侵入事例では、攻撃者が被害者にPowerShellコマンドの実行を指示し、複数の隠蔽されたスクリプトを連続して実行させた後、Python製のインプラントをインストールした。このインプラントは、Active Directoryに登録されたすべてのユーザーアカウントとコンピューターアカウントの名前や説明情報を収集し、攻撃者が管理するサーバーへ送信していた。
同様の攻撃手法は、Microsoftが2024年半ばに報告したBlack Basta関連の攻撃でも確認されている。その後、Cactus、3AM、Chaosなどのランサムウェア攻撃でも観察された。Sophosが報告したChaosの攻撃キャンペーンでは、使い捨ての「onmicrosoft.com」テナントの利用を減らす一方、IT関連の名称を含む「.top」ドメインをマルウェアのホスティングや感染端末の制御に使用していた。
Arctic Wolfは、Teamsの外部チャットを業務上必要なパートナー企業のドメインに限定し、管理対象外のTeamsアカウントや試用版テナントからのアクセスをブロックするよう推奨している。また、Quick Assistなどのリモートアクセスツールについても、使用を承認済みのIT担当者に限定するよう勧告した。
