Microsoft Teams の IT サポート詐欺が Chaos ランサムウェア攻撃につながる

脅威アクターが、Microsoft Teams 上で企業の IT サポート担当者を装い、従業員のデバイスにリモートアクセスして Chaos ランサムウェアを展開しています。

Sophos はこのキャンペーンを STAC4749 として追跡しています。同セキュリティ企業は、2026 年 2 月から 6 月にかけて、米国とカナダの組織に対する数十件の攻撃試行を観測しました。少なくとも 3 件のインシデントで、ランサムウェアによる暗号化が行われました。

攻撃者が Microsoft Teams で IT スタッフを装う

攻撃者は、外部の Microsoft Teams アカウントを通じて従業員に連絡を取っていました。チャットや音声通話の中で、ヘルプデスクの技術者や社内 IT 部門のメンバーであると自己紹介していました。

そして、技術的な問題を解決するために従業員のコンピューターへのアクセスが必要だと主張しました。彼らの目的は、内部チャネルを通じてリクエストを確認することなく、標的にリモートサポートセッションを承認させることでした。

従業員がリクエストを承諾すると、攻撃者はデバイスへの直接アクセス権を取得し、追加のツールをインストールし始めました。

後の攻撃で RemSupp が Microsoft Quick Assist に取って代わる

キャンペーンの初期バージョンでは、別のユーザーがリモートでコンピューターを表示または制御できる Windows の正規サポート機能である Microsoft Quick Assist に大きく依存していました。

Quick Assist がブロックされているか利用できない場合、攻撃者は被害者に他のリモート管理ソフトウェアをインストールするよう指示しました。4 月以降は、クラウドベースの RemSupp サービスへの依存を強めました。

Sophos は、RemSupp を認識する企業のアプリケーションブロックリストが少なかったために、これが好ましい選択肢になった可能性があると考えています。正規のリモートサポートソフトウェアを使用することは、攻撃者が攻撃の第一段階で明らかに悪意のあるツールを展開することを避けるのにも役立ちました。

PowerShell が永続的なバックドアをダウンロード

リモートアクセスを取得した後、攻撃者は PowerShell コマンドを使用して、被害者の %AppData% フォルダーにバックドアをダウンロードしました。

このマルウェアは、侵害されたシステムに関する情報を収集し、永続化メカニズムを作成し、元の Teams またはリモートサポートセッションが終了した後もアクセスを維持しました。

このアクティビティを正当に見せるために、攻撃者は Windows のオーディオコンポーネントに似た名前でレジストリエントリを作成しました。確認された名前には、Realtek HD Audio、Realtek Audio UHD、WinAudio life2 が含まれていました。

これらのエントリにより、マルウェアは自動的に起動できるようになると同時に、従業員や管理者が不審なプロセスを特定するのを困難にしました。

攻撃者が複数のリモートアクセスツールをインストール

ランサムウェアに進行したインシデントでは、グループは DWAgent や AnyDesk などの追加のリモートアクセスアプリケーションをインストールしました。

これらのツールは、防御側が元の接続を妨害した場合のバックアップアクセスを提供しました。攻撃者はまた、リモート デスクトップ プロトコルを有効にしようと試みました。これにより、他のシステムにアクセスし、企業ネットワーク内を横方向に移動できるようになる可能性があります。

Sophos は、2 月から 5 月の間に攻撃チェーンに対する繰り返しの変更を観測しました。セキュリティ製品が初期のバージョンを検出し始めたため、オペレーターはツール、コマンド、および永続化手法を調整しました。

Chaos ランサムウェアが複数のシステムを一度に暗号化

少なくとも 3 件の STAC4749 攻撃が Chaos ランサムウェアの展開に至りました。これらのインシデント中、ランサムウェアは複数の侵害されたコンピューターにわたってほぼ同時にファイルを暗号化しました。

少なくとも 1 件の攻撃からの証拠は、グループが暗号化を開始する前に企業データを窃取した可能性を示唆しています。これにより、攻撃者はデータの暴露とシステムの混乱の両方で被害者に圧力をかけることができます。

Sophos は、このキャンペーンを金銭目的であると評価しています。オペレーターは、ネットワークを侵害した後、自らランサムウェアを展開するか、別のランサムウェアアフィリエイトにアクセス権を提供する可能性があります。

他の脅威グループも Microsoft Teams をソーシャルエンジニアリングに使用しています。イランの国家支援グループである MuddyWater は、諜報活動を隠蔽するために Teams と偽のランサムウェア活動を使用してきました。

Chaos 関連のキャンペーンでは、他の手法も使用されています。別のオペレーションでは、Chaos ランサムウェアが msaRAT を使用して、Chrome と Edge 内の悪意のあるトラフィックを偽装しました。

組織が Teams のビッシング攻撃をブロックする方法

企業は、外部との Microsoft Teams コミュニケーションを制限するか、組織外のアカウントからのメッセージや通話を注意深く監視する必要があります。

従業員は、公式の内部連絡手段を通じて確認することなく、予期しないリモートサポートリクエストを決して承認すべきではありません。IT 部門は、自社の技術者がどのツールを使用しているか、また正規のサポートリクエストがどのように開始されるかを明確に説明する必要もあります。

セキュリティチームは、リモート管理を必要としないシステム上で、Quick Assist、RemSupp、AnyDesk、DWAgent、および類似のソフトウェアをブロックまたは制限する必要があります。

組織は、予期しないダウンロードやエンコードされたコマンドを含む異常な PowerShell アクティビティ、および新しいまたは許可されていないリモート管理アプリケーションのインストールを監視する必要があります。これらの動作は、攻撃者が初期アクセスを取得し、システムに対する制御を確立しようとしていることを示している可能性があります。

また、正規のオーディオソフトウェアを模倣した不審なレジストリエントリ、リモート デスクトップ プロトコルを有効にしようとする試み、内部サポートスタッフを装う外部の Microsoft Teams アカウントにも注意する必要があります。これらの指標を組み合わせることで、攻撃チェーンの早い段階でソーシャルエンジニアリングと侵害後のアクティビティを特定するのに役立ちます。

他のセキュリティニュースでは、Microsoft が Anthropic の Claude Mythos によって特定された脆弱性への対処に苦戦しています。セキュリティ研究がより自動化されるにつれて、攻撃者もソフトウェアの弱点をより迅速に発見し悪用する可能性があります。

Via BleepingComputer