Microsoft Teamsを悪用して社内IT担当者になりすます協調型ソーシャルエンジニアリングキャンペーンが確認され、少なくとも10組織にわたる150人以上の従業員が標的になりました。
「Spring Ring」と名付けられたこのキャンペーンは2026年1月から4月にかけて活動しており、ボイスフィッシング、リモート監視・管理(RMM)ツール、カスタムマルウェア、NTLMリレー技術を組み合わせたものでした。
攻撃者はまず、「Help Desk」「IT Assistance」「Network Support」といった一見それらしい名前を使って外部のMicrosoft Teamsアカウントを作成しました。
多くのアカウントでは、攻撃者が管理する.onmicrosoft.comテナントが使われており、正規の企業インフラに関連しているように見せかけていました。チャットを開始した後、攻撃者は被害者に電話をかけ、ITエンジニアを装いました。
この攻撃では音声によるやり取りが中心的な役割を果たしていました。悪意あるリンクだけに頼るのではなく、脅威アクターはリアルタイムの会話を通じて信頼関係を築き、従業員に自分のパソコン上で特定の操作を行わせるよう仕向けていたのです。
通話は10分から15分続くこともあれば、短時間で終わったり、留守番電話に残されたりするケースもありました。
キャンペーンAでは、攻撃者は被害者を説得してQuick Assistやサードパーティ製RMMツールなど、正規のリモートサポートソフトウェアを起動させました。リモートアクセスを取得した後は、whoami /groupsやnet group /domといったコマンドを使って基本的な偵察活動を行いました。
その後、攻撃者はPowerShellを使い、攻撃者が管理するドメインsan-sid[.]comから難読化されたリモートアクセス型トロイの木馬(RAT)をダウンロードしました。
この9行のペイロードは、AMSI(Antimalware Scan Interface)の無効化、ホスト情報の収集、データの暗号化、コマンド&コントロールサーバーとの通信を試みるものでした。マルウェアの実行は自動化されたエンドポイント保護によって阻止されました。
キャンペーンBでは、より入念にカスタマイズされた感染チェーンが使われました。被害者は、対象企業名と従業員名をファイル名に含む、クラウドでホストされた実行ファイルへと誘導されました。
実行後、マルウェアは一時ディレクトリに移動し、永続化のために追加のコピーを作成した上で、非表示状態のMicrosoft Edgeインスタンスを起動しました。
攻撃者はさらにブラウザ拡張機能をサイドロードし、同梱されたPython実行ファイルを使ってさらなる活動を行いました。このマルウェアは社内システムに向けてSMBトラフィックを発生させ、組織のドメインコントローラーに対するNTLM認証の試みを引き起こしました。
続いて攻撃者は、PetitPotamを使ってドメインコントローラーに攻撃者が管理するシステムへ強制的に認証させようと試みました。
これが成功すればNTLMリレー攻撃につながり、ドメインレベルの権限へと権限昇格できる可能性がありました。このドメイン乗っ取りの試みは、セキュリティ監視によって阻止されました。
Spring Ringは、コラボレーションプラットフォームが強力なソーシャルエンジニアリングの経路になり得ることを浮き彫りにしています。
外部のTeamsアカウントは従来のフィッシングメールよりも信頼できるように見える一方、音声通話は攻撃者に被害者の質問や抵抗へ即座に対応する機会を与えると、Unit 42は指摘しています。
複数の行動的な兆候が、このキャンペーンを見分ける手がかりになります。具体的には、外部ユーザーからの一方的なTeamsチャット、チャットから音声通話への急速な移行、通常とは異なるRMMの実行、想定外のクラウドストレージからのダウンロード、珍しいブラウザ拡張機能、異常なSMBやNTLMの通信などが挙げられます。
ANY.RUNのブラウザ内データ調査機能で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/teams-vishing-targets-employees/
