攻击者利用 Microsoft Teams IT 支持骗局部署恶意软件和勒索软件

网络安全研究人员正在提醒人们注意他们所称的"反复出现的社会工程模式"，涉及数百起案例，威胁行为者利用 Microsoft Teams 的外部聊天创建功能进行冒充诈骗或投递恶意软件。

"在这些事件中出现了一致的攻击者行为模式：使用同样的一次性租户、同样的 'IT Support (Internal)' 显示名称、同样的远程访问工具，以及越来越多的相同载荷域名，" Arctic Wolf Labs 在与 The Hacker News 分享的一份报告中表示。

这些攻击一致采用 IT 主题的显示名称或听起来友好的名字来绕过 Teams 中的外部用户警告。这些消息源自通过新创建或收购的 Microsoft 365 租户建立的 Teams 身份。

这家网络安全公司调查的案例中，近 30–40% 涉及使用 *.onmicrosoft[.]com——这是创建 Microsoft 365 租户时由 Microsoft 自动生成的永久回退域名。这些域名伪装成 IT 基础设施，选择服务台或支持主题的词作为租户名称以提高其可信度——

• helpdeskteam365.onmicrosoft[.]com
• itendpoint365.onmicrosoft[.]com
• itcoreportal.onmicrosoft[.]com
• itadmin922.onmicrosoft[.]com
• corporateitservicellc.onmicrosoft[.]com

正如此前许多案例中所观察到的那样，这些 Teams 会话之前伴随着邮件轰炸，受害者的收件箱在短时间内被数百份新闻通讯或订阅确认信息淹没。这种做法旨在制造虚假的紧迫感，Teams 的 IT 支持消息随后很快到达，以帮助解决问题。

Arctic Wolf 在不同案例中观察到的一些显示名称如下——

• Help Desk
• IT Support
• HelpDesk Manager
• IT Service Desk – Liam / IT Service Desk (Liam)
• IT Service Desk – Matt / IT Service Desk – Scott
• IT Support – Christopher Thomas
• HelpDesk Supervisor
• Enterprise IT & Security (Internal)
• IT Tech Support Internal
• Business IT Solutions & Support (Internal)
• Maintenance Service
• IT-Representative
• IT/Help Desk

在近期的迭代中，攻击者被观察到在其显示名称中加入目标组织的域名或公司名称，以赋予消息额外的合法性。

"我们还观察到近期向付费顶级域名（TLD）转变用于租户创建，" Arctic Wolf 表示。"在过去几个月我们在此类骗局中识别的付费域名中，约 50% 的虚假身份使用 .top TLD，约 40% 使用标准 .com 域名，略高于 5% 使用多级域名，如 .com.pl、.com.vn 和 .com.br。"

该活动与 STAC4749 的行为一致，该组织有在 ".top" TLD 下创建 IT 主题云域名并利用貌似合理的员工用户名使账户显得真实的历史。据 Sophos 称，这些攻击导致了 Chaos 勒索软件的部署。

这些攻击专门针对启用了外部访问的组织。这还涉及语音钓鱼（vishing）元素，诱骗受害者通过 Quick Assist、AnyDesk、ScreenConnect (ConnectWise)、TeamViewer、Atera、Zoho Assist、NetSupport 和 LogMeIn 等合法的远程监控和管理（RMM）工具授予其实际操作权限。

远程访问被滥用于侦察、投递 GoGRPC 后门等额外载荷、实现向域控制器的横向移动，并部署 Level 等额外 RMM 工具以实现冗余，最后窃取敏感数据并投放勒索软件二进制文件。

"在一个子集的案例中，攻击者利用了 Microsoft 的笔记功能，" Arctic Wolf 表示。"攻击者通常避免直接将 URL 粘贴到 Teams 中，因为那会触发 Safe Links / ZAP 扫描，而是在远程会话期间自行导航到载荷。因此，端点和身份遥测是消息扫描之外必不可少的监控面。"

在这家安全厂商识别的一个案例中，据称该威胁行为者指示用户运行一个 PowerShell 命令来下载文件然后启动它。该 PowerShell 命令旨在从 Microsoft Azure Blob Storage 下载一个 MSI 安装程序。

当受害者运行该安装程序时，它会启动一个 PowerShell 脚本，负责提取并执行嵌入其中的 Python 植入物。该后门随后运行另一个 MSI 事务，向 Active Directory 发出 LDAP 查询以获取所有计算机和用户对象，然后将信息传输到外部服务器。

"外部 Microsoft Teams 聊天已成为一个有效的初始访问载体，因为它利用的是信任而非软件漏洞，" Arctic Wolf 表示。

"在所审查的活动中，攻击者结合了邮件轰炸、令人信服的 IT 支持冒充、新创建的租户和域名，以及快速的社会工程，将受害者从看似寻常的聊天引向远程访问、载荷执行，并在某些情况下导致更广泛的攻陷。"