Sophosの研究者らは、偽のITサポート通話を使って企業システムへのリモートアクセス権を取得し、Chaosランサムウェアを展開するMicrosoft Teamsのボイスフィッシング(ビッシング)キャンペーンを発見しました。
STAC4749として追跡されているこのキャンペーンは、2026年2月から6月にかけて北米の数十の組織を標的としました。
攻撃者はMicrosoft Teamsのチャットや音声通話を通じてヘルプデスク担当者になりすまし、従業員にリモートアクセスツールを起動させたりソフトウェアをインストールさせたりするよう仕向けました。
Sophosによると、このグループはアクセス権を取得した後、モジュール式のマルウェアツールキットを使用していました。これらのツールにより、ランサムウェアを展開する前に、システム調査、永続化、コマンド実行、リモートアクセス、そして横展開が可能になっていました。
少なくとも3件のインシデントでは、攻撃者が被害者のネットワーク内で活動範囲を拡大した後、Chaosランサムウェアを展開しました。
この一連の攻撃は金銭目的とみられ、スピードを重視しているのが特徴です。あるケースでは、初期侵害からわずか17時間足らずでランサムウェアによる暗号化が開始されました。
攻撃者は、IT関連を思わせるユーザー名やドメインで作成したMicrosoft Teamsアカウントを使って標的に接触していました。
使用されていた名前にはAnthonyBrooks、DylanHarper、EthanParker、EllaBrooksなどがあり、これらはsequrityupdate[.]top、scan-security[.]top、system-connect[.]top、service-help[.]topといった不審なドメインと組み合わされていました。
これまでのTeams悪用キャンペーンの多くが偽装したonmicrosoft[.]comテナントに依存していたのに対し、STAC4749はカスタムの.topドメインを使うことで、不正アカウントの信憑性を高めていました。
攻撃者は社内IT担当者を装い、従業員に対して端末に技術サポートが必要だと信じ込ませようとしていました。
通話時間は約90秒から20分超までとさまざまでしたが、大半は2分から2分半程度でした。
攻撃者の狙いは、利用者にMicrosoft Quick Assistを起動させるか、あるいは別のリモート監視・管理(RMM)ツールをインストールさせることでした。
当初、このグループはMicrosoft Quick Assistを好んで使用していました。しかし4月以降、攻撃者は次第にRemSuppの使用を増やしていきました。
このクラウドベースのリモートサポートツールは、アプリケーションのブロックリストに引っかかりにくい可能性があります。さらに後の段階では、msconfigを通じてWindowsのサービス設定を変更し、リモートデスクトッププロトコル(RDP)を有効化しようとする動きも確認されています。
Microsoft Teamsを悪用したビッシングは、ランサムウェア攻撃者にとって初期アクセス手法としてますます一般的になりつつあります。Sophosは2026年1月にTeams関連のビッシング事案が大幅に増加したことを観測しており、3月と5月にもさらなる増加が見られました。
Black Basta、3 AM、その他のランサムウェア活動に関連する過去のキャンペーンでも、同様にTeams通話やメール爆撃、リモートサポートツールを使って組織を侵害していました。
観測されたSTAC4749の事例のうち、実に95%近くがカナダと米国の組織を標的としていました。このキャンペーンの影響は、サービス業、製造業、エネルギー、建設、エンジニアリング、そして知的財産権を扱う法律事務所など、複数の業種に及んでいます。
リモートセッションを確立した後、STAC4749の実行者はPowerShellを使い、攻撃者が管理するサーバーからペイロードをダウンロードしていました。これらのファイルは、AppData\Roamingのようなユーザー書き込み可能なフォルダに置かれることが多かったとSophosは述べています。
初期の攻撃では、sekv<random digits>.exe、helper<random digits>.exe、74fs<random digits>.exeなど、ファイル名のパターンを変化させるローダーが使用されていました。
これらのローダーは、侵害された端末のプロファイリングを行い、セキュリティ製品の有無を確認したうえで永続化を確立し、gRPCを用いてコマンド&コントロール(C2)インフラと通信していました。
SOC調査の死角を解消し、ANY.RUNで脅威を早期に封じ込めることで、対応コストと業務への影響を抑えましょう。
翻訳元: https://cyberpress.org/teams-vishing-chaos-ransomware/
