ハッカーがMicrosoft TeamsでITヘルプデスクを装いChaosランサムウェアを展開

ハッカーがMicrosoft Teamsの音声通話とITヘルプデスクを装った偽の担当者を悪用し、企業のエンドポイントへリモートアクセスして独自のポスト・エクスプロイテーションツールチェーンを展開しています。複数のケースでは、そこから短期間でChaosランサムウェアの展開へと移行しており、その被害は北米地域の組織に集中しています。

観測された侵害の約95%が北米の標的に対するもので、サービス業、製造業、エネルギー、建設、知的財産を扱う法律事務所などが特に大きな被害を受けています。

侵入後、攻撃者は検知回避のためツールと手口を継続的に改良しながら、スピードと信頼性、再現性を重視し、データ窃取と暗号化へと段階を進めていきます。

STAC4749は、Microsoft Teamsを悪用したビッシング(音声フィッシング)の広範な急増の一角を占めています。Microsoftは2024年、Black Basta ランサムウェアに関連してTeamsとQuick Assistを使ったヘルプデスク偽装型のソーシャルエンジニアリングを初めて詳細に報告しており、この活動はStorm-1811によるものと特定されていました。

この金銭目的の攻撃者は、Teamsのメッセージや通話でサポート担当者になりすまし、被害者を誘導してQuick Assist経由でリモートアクセスを許可させていました。

2024年後半から2025年初頭にかけて、Sophos MDRはSTAC5777およびSTAC5143という2つのキャンペーンで、同様のIT担当者を装ったTeamsビッシングの手口を確認しており、その一部はBlack Bastaに関連する脅威グループGOLD REBELLIONとも重複していました。

Chaosランサムウェア・アズ・ア・サービス(RaaS)は2025年初頭にCisco Talosによって初めて報告され、旧BlackSuit(Royal)の運営者と関連があると評価されていますが、これも同様の手口を踏襲しています。すなわち、スパムを起点としたビッシング、RMM(リモート監視管理ツール)の悪用、高速なマルチスレッド暗号化、そして米国およびその同盟国の組織を狙った積極的な二重恐喝です。

Clubs& Organizations

STAC4749のキャンペーンでは、初期アクセスはヘルプデスクや「セキュリティアップデート」担当者を装ったアカウントからの、一方的なTeamsチャットや音声通話から始まります。

攻撃者はonmicrosoft[.]comテナントを偽装する手法に頼るのではなく、「.top」というTLD(トップレベルドメイン)の下にIT関連を装ったクラウドドメイン群を登録し、AnthonyBrooks、DylanHarper、EthanParkerといった、いかにも社員らしいユーザー名と結び付けていました。使用されたドメインにはsequrityupdate[.]topなどがあります。

これらのアカウントを使い、通常2分から2分半程度の短く台本化された通話を行い、被害者にすぐさまリモートサポートセッションを開始させるよう仕向けていました。

当初、STAC4749はStorm-1811や以前のBlack Bastaの活動と同様に、Microsoft Quick Assistを主に利用しており、Quick Assistがブロックされた場合の代替RMMとしてRemSuppを展開していました。

4月以降、攻撃者はRemSuppを主体的に使用するようになったとみられます。これはRemSuppが企業のブロックリストに引っかかりにくく、より安定した長期的アクセスを攻撃者にもたらすためと考えられます。

ホストへの侵入後、攻撃者は一貫してmsconfigのサービス設定を変更してRDPを有効化しようと試みており、これは横展開への布石となっています。

Sophosはこの最新のキャンペーンをSTAC4749として追跡しています。これは2026年2月から6月にかけて活動している金銭目的の攻撃であり、標的はほぼすべてカナダおよび米国の組織に集中しています。

Clubs& Organizations

STAC4749におけるポスト・エクスプロイテーション活動は、攻撃者が管理するWebインフラからPowerShell経由で配信される、モジュール化された多段階のマルウェアチェーンによって駆動されています。

初期の攻撃事例では、AppData\Roamingに配置された専用のローダーが使われており、ファイル名は固定タグとランダムな数字のサフィックスを組み合わせたものでした。

このローダーはシステム調査を実施し、ミューテックスと識別子を書き込み、AppScreenのログファイルの有無を確認したうえで、94[.]140[.]114[.]192 および 94[.]140[.]115[.]xの範囲内にあるハードコードされたIPアドレスへgRPC経由で接続し、PyInstaller製のバックドアや追加のペイロードを取得していました。

4月中旬までに、攻撃者はツールチェーンを合理化し、ローダーを廃止してPythonベースのバックドアを第1段階として直接配信するようになりました。

このバックドアはPyArmourで難読化されており、シェルコマンドの実行、ホストに関する詳細なメタデータの収集、追加のPythonモジュールの動的読み込み、base_library.zipアーカイブ形式でのデータのステージングが可能です。

Microsoft TeamsにおけるITヘルプデスク偽装

設定情報とAES鍵は公開されているGitHubリポジトリから取得され、C2(コマンド&コントロール)通信はworkers[.]dev経由でプロキシされることで、インフラ層の難読化がさらに強化されています。

C2インプラントについては、STAC4749はPowerShell経由で起動されるGolang製バイナリを使用しており、「–token-raw」という引数にはC2への認証やコマンドの検証に用いられるBase64エンコードされたトークンと署名のペアが含まれています。

graph.exe、confirm.exe、midnight.exe、shield.exeといったファイル名は事例ごとに異なりますが、各インプラントは長時間持続する暗号化通信を確立し、ホストごとの管理のために固有の被害者識別子を使用しています。

特筆すべき点として、複数のインプラントには認証局(CA)証明書が組み込まれており、証明書ピンニングを実施していて、C2サーバーがloop-CA、connectify-CA、james-bond-CAといったハードコードされた名称と一致する発行者を提示した場合にのみ接続する仕組みになっています。

同じ発行者を共有するペイロードは同一のインフラと通信する一方、発行者が異なれば別のC2クラスターに対応しており、運用上の役割やキャンペーンごとに意図的にセグメント化されていることがうかがえます。

バックドアや主要なインプラントに加え、STAC4749の攻撃者は選択的にカスタムのトンネリングツール「sc5.exe」を展開しています。これはリバースSOCKSプロキシを実装したもので、最大1,000の同時接続をサポートし、legio[.]nameなどのインフラへ通信を中継します。

ランサムウェア展開に至る環境では、DWAgentやAnyDeskといった追加のリモートアクセスツールを重ねて導入することが多く、これはTeamsビッシングとQuick Assistの悪用に関連する過去のChaosおよび3AMランサムウェアキャンペーンで見られたTTP(戦術・技術・手順)と一致しています。

Sophosが調査した侵害事例のうち、少なくとも3件がChaosランサムウェアの展開にまで至りました。これらの事例では、横展開と場合によってはデータ窃取が完了した後、攻撃者はエンドポイント全体でほぼ同時に暗号化を実行し、「.chaos」という拡張子を付与するとともに、readme.chaos.txtという身代金要求メモを設置していました。

ある環境では、最初のTeamsビッシング通話からランサムウェアの本格的な影響発生までの滞留時間が17時間未満でした。これは、迅速な選択的暗号化、二重恐喝、圧力戦術を重視するChaos RaaSの手口と一致しています。

Talosはこれまで、Chaosは旧BlackSuitのメンバーによって運営されているとの見方を中程度の確信度で示していますが、SophosはSTAC4749をイラン関連組織MuddyWaterに結び付ける証拠は見つかっていないとしています。なお、Chaosが国家支援型の作戦における偽旗(フォールスフラッグ)として利用されている可能性についても、別途報告がなされています。

防御側にとって、このキャンペーンはMicrosoftとSophosが以前のTeamsビッシングおよびQuick Assist悪用に関する報告ですでに強調していたいくつかのポイントを改めて裏付けるものです。外部からのTeams通信に対する厳格な管理を徹底すること、そしてQuick Assist、RemSupp、AnyDesk、DWAgentといったリモートサポートツールをブロックするか厳格に管理することが求められます。

IOC(侵害指標)

注: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されるのを防ぐため、意図的にディフェング(無害化)処理(例: [.])を施しています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいはご利用のSIEMなど、管理された脅威インテリジェンス基盤内でのみ行ってください。

100万ドルのデータ侵害保証は本物の補償か?: 無料の「AI SOC侵害保証」10項目ガイドをダウンロード

Databreach response