ハッカーがMicrosoft Teamsを悪用、偽IT サポートを装ったランサムウェアキャンペーンを展開

サイバーセキュリティ企業Sophosのレポートによると、Microsoft Teamsを悪用してランサムウェアを展開するソーシャルエンジニアリングキャンペーンで、北米企業数十社が標的にされています。

STAC4749として追跡されている脅威グループは、米国とカナダの企業に対してヘルプデスクやITサポートを装い、Microsoft Teams経由でチャットや通話を開始しています。

Microsoft Quick Assistまたはクラウドベースのツール「RemSupp」を通じてリモートセッションを確立した後、ハッカーはPowerShellを展開し、永続性を確保して悪意のあるペイロードを実行します。

今回の攻撃は、イラン関連組織MuddyWaterに関するRapid7のレポートが、金銭目的の攻撃者を装う偽旗作戦を展開していたと報告してから数ヶ月後に発生しました。Sophosの研究者は両者の関連性を調査しましたが、STAC4749による攻撃は実際には犯罪組織によるものと考えています。

Sophosの脅威インテリジェンスアナリスト、Morgan Demboski氏は次のように述べています。「観測した証拠に基づくと、この活動は国家支援型の攻撃者というより、金銭目的のサイバー犯罪活動と一致する点が多くあります。一部の侵入ではデータが窃取されていましたが、長期的な永続性の確保や、秘匿的なアクセスの試み、標的を絞った情報収集といった、スパイ活動に特化した攻撃者に典型的な挙動は見られませんでした」

Demboski氏によると、今回の攻撃は速度を最優先する二重恐喝型の手口と一致しているとのことです。

少なくとも3件のケースで、ハッカーは侵害されたシステムにChaosランサムウェアを展開していました。研究者によると、そのうちの1件では、初期侵入からランサムウェア展開までの時間が17時間だったとのことで、これは過去のChaos事案と一致する数字です。

観測された攻撃は2月から6月にかけて行われ、サービス業、製造業、エネルギー、建設・エンジニアリングの各分野の組織が標的となりました。

Chaosランサムウェア・アズ・ア・サービスは2025年2月から活動しており、Sophosによると、BlackSuitランサムウェアの元メンバーに関連付けられています。今回のキャンペーンで使われた手口の多くは、Microsoft TeamsとQuick Assistをビッシング(vishing)に利用する点を含め、これまでChaosに関連付けられてきた過去の攻撃と一致しています。Sophosによると、過去の攻撃では横展開にDWAgentやAnyDeskも使用されていました。