Microsoft Teamsのビッシング攻撃がChaosランサムウェア攻撃につながる

脅威アクターがMicrosoft TeamsのIT担当者になりすまし、企業デバイスへのリモートアクセスを取得してChaosランサムウェアを展開する攻撃が確認されています。北米の組織を標的にした一連の攻撃です。

Sophosはこのキャンペーンを「STAC4749」として追跡しており、2026年2月から6月にかけて数十の組織を標的にしたとしています。

これらの侵入のうち少なくとも3件がChaosランサムウェアの展開に至っており、あるケースでは初期アクセスからファイル暗号化まで17時間未満というスピードで進行しました。

Sophosによれば、攻撃全体の約95%がカナダ(50%)と米国(45%)の組織を標的にしています。

脅威アクターは多岐にわたる業種を標的としており、中でもサービス業、製造業、エネルギー業界、建設・エンジニアリング業界での被害が最も多く確認されています。

Microsoft TeamsのIT担当者なりすまし通話

攻撃はまず、外部のMicrosoft Teamsアカウントが標的の従業員に対しITヘルプデスクやサポート担当者になりすまし、Teamsのチャットや音声通話で接触するところから始まります。

Sophosが観測した通話は90秒から20分以上に及ぶものまでありましたが、大半はおよそ2分から2分30秒程度で完了していました。

過去のMicrosoft Teamsを悪用したソーシャルエンジニアリング攻撃では、脅威アクターがMicrosoftのonmicrosoft.comドメイン上に独自のテナントを作成して連絡を開始するケースが一般的でした。

今回のSTAC4749キャンペーンは、”.top”というトップレベルドメインの下にIT関連を装ったドメインを作成する点で従来のキャンペーンとは異なります。Sophosが公開した例としては、sequrityupdate[.]top、scan-security[.]top、system-connect[.]top、corp-connect[.]top、supportsoft[.]topなどが挙げられています。

攻撃者はこれらのドメインと組み合わせて、Anthony Brooks、Dylan Harper、Ethan Parker、Jason Mitchellといった架空のIT担当者名を使用しており、それぞれのエイリアスに紐づく特定のドメインを使い分けているとみられます。

通話の目的は、従業員にMicrosoft Quick Assistを使ったリモートサポートセッションを開始させる、あるいは別のリモート監視・管理ツールをインストールさせることでした。

Sophosによれば、攻撃者は当初Quick Assistを好んで使用し、Quick Assistが利用できない、またはブロックされている場合にはクラウドベースのリモート管理ツール「RemSupp」を使用していました。

しかし4月以降、攻撃者は主にRemSuppを使用するように切り替えました。これは企業のアプリケーションブロックリストに含まれにくいためとみられています。

従業員のデバイスへのリモートアクセスを獲得した後、攻撃者はPowerShellを使い、最終的に侵害したユーザーの%AppData%フォルダにバックドアをダウンロードしていました。

このマルウェアはシステムの情報を収集し、永続化を確立した上で、攻撃者に継続的なリモートアクセス手段を提供していました。

永続化の仕組みを正規のものに見せかけるため、悪意あるレジストリエントリは「Realtek HD Audio」「Realtek Audio UHD」「WinAudio life2」といった名称を使い、RealtekやWindowsのオーディオコンポーネントに偽装されていました。

後にChaosランサムウェアの展開につながったインシデントでは、攻撃者はネットワーク内のシステムへのバックアップ用アクセス手段としてDWAgentやAnyDeskといったリモートアクセスソフトウェアもインストールしていました。さらに、侵害したデバイスでリモートデスクトッププロトコル(RDP)を有効化しようと試み、システム間の横展開を図っていました。

Sophosのレポートによれば、攻撃者は2月から5月にかけて攻撃チェーンを絶えず変更し、マルウェアのファイル名や永続化手法、展開方法を変えることで検知を回避していたとしています。

Chaosランサムウェアとの関連

STAC4749による侵害のうち少なくとも3件が最終的にChaosランサムウェア攻撃に至っており、そのうち少なくとも1件では、攻撃者がランサムウェアを展開する前にデータを窃取していた可能性が高いとみられています。

Sophosによれば、ランサムウェアが展開されると、侵害されたデバイス全体で同時にファイルが暗号化され、被害システム上には「readme.chaos.txt」という名称の身代金要求メモが作成されていました。

BleepingComputerが確認したChaosの身代金要求メモはいずれも同じ文面で、データを窃取したと主張し、身代金が支払われなければ流出させると警告する内容でした。

Sophosが確認したあるインシデントでは、Microsoft Teamsでの最初の接触からランサムウェアの展開まで、わずか17時間足らずしか経過していませんでした。

Sophosは「初期アクセスから暗号化までの間隔が短いことから、Sophosのアナリストは、STAC4749が金銭目的の攻撃組織であり、自らランサムウェアを直接展開したか、あるいはアフィリエイトと連携していたと高い確度で評価している」と述べています。

Sophosによれば、Chaosランサムウェア・アズ・ア・サービス(RaaS)は少なくとも2025年2月から活動しており、BlackSuitおよびRoyalランサムウェアギャングの元メンバーとの関連が指摘されています。これらのランサムウェア組織は、悪名高いContiサイバー犯罪シンジケートからの派生組織でもあります。

ランサムウェアギャングをはじめとする脅威アクターは、Microsoft Teamsを悪用して企業のIT担当者になりすまし、標的にデバイスへのリモートアクセスを許可させる手口を増加させています。

2024年10月には、Black Basta ランサムウェアのアフィリエイトが従業員の受信箱に大量の迷惑メールを送りつけた後、Microsoft Teamsで外部ユーザーを装って接触する手口が確認されています。

また、より最近ではイランの国家支援型ハッキンググループ「MuddyWater」に起因するとされる攻撃でもMicrosoft Teamsが悪用されており、この攻撃者はサイバースパイ活動を隠す囮としてChaosランサムウェアを利用していたとされています。

Sophosは、今回の新たなSTAC4749キャンペーンとMuddyWaterを結びつける証拠は見つかっていないとしています。