- Microsoftが、攻撃者がIT担当者になりすますTeamsベースのキャンペーンについて警告
- 被害者はリモートアクセスの許可をだまし取られ、マルウェア感染・横展開・ランサムウェアへとつながる
- 対策: サポート窓口の確認、従業員教育、Teamsの堅牢化、Defenderの Safe Links/ZAPの活用
Microsoftは、Teamsのメッセージから始まり、ランサムウェア感染とデータ窃取で終わる、現在進行中のハッキングキャンペーンについて警告しています。
Microsoftのブログで公開された新たな詳細レポートによると、身元不明の攻撃者がTeamsのチャットを通じて複数の企業のターゲットに接触し、IT担当者になりすましていたとのことです。
攻撃者は被害者に画面共有やリモート監視・管理ツールを通じてリモートアクセスを許可するよう仕向け、アクセス権を得るとそれを悪用してマルウェアローダーやその他さまざまなインプラントをインストールしていました。
Teams経由のフィッシングから身を守るには
マルウェアはあくまで攻撃の第一段階に過ぎません。その後の段階には、ホストの偵察、セキュリティ製品や仮想化環境の検出、そして「定期的なデスクトップ画面のキャプチャ」が含まれます。つまり、環境の全体像を把握しながらスパイ活動を行っているのです。
その後、攻撃者はネイティブツールやActive Directory Service Interfaces(ADSI)クエリを使ってドメインアカウント、サーバー、ユーザーを列挙し、横展開を開始します。
最終段階では、価値のあるデータを特定して窃取し、その後ランサムウェア感染へと進みます。
Microsoftは加害者の名前を明かしておらず、大部分を単に「脅威アクター」と呼んでいます。これは理にかなっています。というのも、この「Teams経由の偽IT サポート」という手口は現在、複数のグループによって使われているからです。ロシアのCozy Bear、FIN7、Storm-1811がおそらく最も分かりやすい例でしょう。
世界最大級のゆすり集団であるShinyHunstersも、Teamsを使って被害者からアクセス権をだまし取ることで知られていますが、このグループは暗号化ツールを展開することはほとんどなく、データの窃取そのものに専念する傾向があります。
攻撃者が誰であれ、また誰を狙っていようとも、一つだけ確かなことがあります。それは、企業環境におけるリスクがかつてないほど高まっているということです。
そのためMicrosoftは、社内のヘルプデスク向けに本人確認用の合言葉を設定するとともに、外部テナントを示す兆候を見分けられるよう従業員を教育することで、ユーザー教育を強化するよう勧めています。
同社はまた、企業に対して、心当たりのないサポート連絡を受けた際にはその真偽を確認すること、そしてMicrosoft TeamsとメールをソーシャルエンジニアリングT対策として堅牢化することを求めています。Microsoftは「Safe LinksとZero-hour auto purge(ZAP)を備えたMicrosoft Defender for Office 365を利用することで、悪意のあるメッセージやURLをクリックされた瞬間に無害化し、配信後も削除できるようにしてください」と促しています。
