Microsoft Teams の IT サポート詐欺が Chaos ランサムウェア攻撃に発展

脅威アクターが企業のITサポート担当者を装い、Microsoft Teamsを通じて従業員のデバイスにリモートアクセスし、Chaosランサムウェアを展開する手口が確認されています。

SophosはこのキャンペーンをSTAC4749として追跡しています。同セキュリティ企業は、2026年2月から6月にかけて、米国とカナダの組織に対する数十件の攻撃試行を確認しました。少なくとも3件のインシデントでは、ランサムウェアによる暗号化が実行されました。

攻撃者がMicrosoft TeamsでITスタッフを装う

攻撃者は、外部のMicrosoft Teamsアカウントを通じて従業員に接触しました。チャットや音声通話の中で、ヘルプデスクの技術者や社内IT部門のメンバーであると自己紹介しています。

その上で、技術的な問題を解決するために従業員のコンピューターへのアクセスが必要だと主張しました。標的に対し、内部チャネルで依頼内容を確認させることなく、リモートサポートセッションを承認させるのが目的でした。

従業員が要求を承諾すると、攻撃者はデバイスへの直接アクセスを取得し、追加ツールのインストールを開始しました。

後の攻撃でMicrosoftクイックアシストがRemSuppに置き換わる

このキャンペーンの初期バージョンでは、Microsoftクイックアシストに大きく依存していました。これは、別のユーザーがリモートでコンピューターを表示または制御できる正規のWindowsサポート機能です。

クイックアシストがブロックされているか利用できない場合、攻撃者は被害者に他のリモート管理ソフトウェアをインストールするよう指示しました。4月以降は、クラウドベースのRemSuppサービスへの依存度が高まっています。

Sophosは、企業のアプリケーションブロックリストに認識されることが少なかったため、RemSuppが優先オプションになった可能性があると考えています。正規のリモートサポートソフトウェアを使用することで、攻撃の初期段階で明らかに悪意のあるツールを展開することを回避することにも役立ちました。

PowerShellが永続化バックドアをダウンロード

リモートアクセスを取得した後、攻撃者はPowerShellコマンドを使用して、被害者の%AppData%フォルダーにバックドアをダウンロードしました。

このマルウェアは、侵害されたシステムに関する情報を収集し、永続化メカニズムを作成し、元のTeamsまたはリモートサポートセッションが終了した後もアクセスを維持しました。

活動を正当なものに見せかけるため、攻撃者はWindowsのオーディオコンポーネントに似せた名前のレジストリエントリを作成しました。確認された名前には、Realtek HD Audio、Realtek Audio UHD、WinAudio life2などが含まれます。

これらのエントリにより、マルウェアは自動的に起動できるようになる一方、従業員や管理者が不審なプロセスを特定するのが難しくなりました。

攻撃者が複数のリモートアクセスツールをインストール

ランサムウェアに発展したインシデントでは、攻撃グループはDWAgentやAnyDeskなどの追加のリモートアクセスアプリケーションをインストールしました。

これらのツールは、防御側が元の接続を遮断した場合のバックアップアクセスを提供しました。攻撃者はまた、リモートデスクトッププロトコルを有効にしようと試みました。これは、他のシステムへのアクセスや企業ネットワーク全体への横移動に役立つ可能性があります。

Sophosは、2月から5月の間に攻撃チェーンの繰り返しの変更を確認しました。セキュリティ製品が以前のバージョンを検出し始めたため、攻撃者はツール、コマンド、永続化の手法を調整しました。

Chaosランサムウェアが同時に複数のシステムを暗号化

少なくとも3件のSTAC4749攻撃が、Chaosランサムウェアの展開に至りました。これらのインシデントでは、ランサムウェアが複数の侵害されたコンピューターにわたり、ほぼ同時にファイルを暗号化しました。

少なくとも1件の攻撃からの証拠は、攻撃グループが暗号化を開始する前に企業データを窃取した可能性を示唆しています。これにより、攻撃者はデータ公開とシステム停止の両方で被害者に圧力をかけることが可能になります。

Sophosは、このキャンペーンを金銭目的と評価しています。攻撃者は自らランサムウェアを展開するか、ネットワークを侵害した後に別のランサムウェアアフィリエイトにアクセスを提供する可能性があります。

他の脅威グループも、ソーシャルエンジニアリングにMicrosoft Teamsを利用しています。イランの国家支援を受けるMuddyWaterグループは、スパイ活動を隠蔽するためにTeamsと偽のランサムウェア活動を利用してきました。

Chaos関連のキャンペーンでは、他の手法も使用されています。別の作戦では、ChaosランサムウェアがmsaRATを使用して、ChromeとEdge内の悪意のある通信を偽装しました。

組織がTeamsビッシング攻撃をブロックする方法

企業は、外部とのMicrosoft Teams通信を制限するか、組織外のアカウントからのメッセージや通話を注意深く監視する必要があります。

従業員は、公式な内部連絡手段を通じて確認することなく、予期しないリモートサポート要求を決して承認すべきではありません。IT部門は、技術者が使用するツールと、正当なサポート要求がどのように開始されるかを明確に説明する必要もあります。

セキュリティチームは、リモート管理を必要としないシステム上で、クイックアシスト、RemSupp、AnyDesk、DWAgent、および類似のソフトウェアをブロックまたは制限する必要があります。

組織は、予期しないダウンロードやエンコードされたコマンドを含む異常なPowerShellアクティビティ、および新規または未承認のリモート管理アプリケーションのインストールを監視する必要があります。これらの動作は、攻撃者が初期アクセスを取得し、システムの制御を確立しようとしていることを示している可能性があります。

また、正規のオーディオソフトウェアを模倣した不審なレジストリエントリ、リモートデスクトッププロトコルを有効にする試み、内部サポートスタッフを装う外部Microsoft Teamsアカウントにも注意する必要があります。これらの指標を組み合わせることで、攻撃チェーンの早い段階でソーシャルエンジニアリングや侵害後の活動を特定するのに役立ちます。

その他のセキュリティニュースでは、MicrosoftはAnthropicのClaude Mythosが発見した脆弱性の修正に苦戦しています。セキュリティ研究がより自動化されるにつれて、攻撃者もソフトウェアの脆弱性をより迅速に発見し、悪用する可能性があります。

Via BleepingComputer