Teamsフィッシング攻撃、企業アクセス権を狙う

社内の技術サポートを名乗る不意の連絡は、一見まったく無害に見えることが多いものです。しかし、その油断が仇となり、従業員が知らぬ間に見知らぬ人物へパソコンの制御を直接渡してしまうケースが後を絶ちません。Microsoftは先ごろ、この脆弱性を突く活発なキャンペーンを暴露しました。攻撃者はMicrosoft Teamsを通じて積極的に被害者に接触し、正規のIT担当者を巧妙に装います。そして、たった一度のリモートセッションを武器に変え、組織の重要システムを侵害する直接的な足がかりへと発展させているのです。

ソーシャルエンジニアリングとリモート機能の悪用

攻撃者は外部アカウントを使い、メッセージや音声通話で接触を開始します。そして、対象となった従業員を巧みに説得し、有効な画面共有リクエストを承諾させます。あるいは、Quick Assistを開かせて必須の接続コードを入力するよう仕向けるケースもあります。時には、この一連のやり取りに巧妙な音声フィッシング(ボイスフィッシング)を組み込むこともあります。この手口により、危険な指示や悪意あるリンクがチャットログに残ることを防いでいるのです。重要な点として、この攻撃はTeams自体の技術的な脆弱性を突くものではありません。被害者が、外部者との通信に関する明確なシステム警告を自ら無視してしまうことが侵害の起点となっています。

JavaScriptバックドアの展開

リモートアクセスを確保すると、攻撃者は即座にPowerShellを起動します。クラウドリポジトリから悪意あるMSIファイルをダウンロードし、通常のソフトウェアアップデートに見せかけて偽装します。その後、`msiexec`コマンドを使ってひそかにインストールを実行します。このパッケージは、正規かつポータブル版のNode.js環境を密かにダウンロードします。続いて、高度なJavaScriptバックドアを復号・実行します。署名済みのコンポーネントとWindows標準ユーティリティを利用することで、この悪意ある活動は通常のシステム動作に紛れ込み、見分けがつきにくくなっています。

横展開とインフラ偵察

このバックドアは、ユーザーのローカルプロファイル内に「EdgeUpdate」という偽名で永続化されます。その後、指定されたコマンドサーバーとHTTPSによる安全な通信を確立し、JavaScriptの命令を受け取ります。攻撃者は、侵害されたコンピューターや、インストール済みのセキュリティソフト、周辺の仮想環境について、体系的に詳細な情報を収集します。定期的に画面画像を取得し、Active Directoryのアカウントやサーバーを綿密にマッピングします。さらに、追加の悪意あるDLL(ダイナミックリンクライブラリ)が、標準の`rundll32`プログラムを介して密かに実行されます。

Windowsリモート管理機能の悪用

この初期偵察フェーズに続き、攻撃者はWindowsリモート管理(WinRM)を悪用します。ポート5985を利用して、隣接するコンピューターへの横展開を実行します。Microsoftは、これらの攻撃者が重要なファイルサーバー、機密データベース、ドメインコントローラー、認証局を積極的に標的にしていることを確認しています。この攻撃的な活動は、インフラ全体への広範な侵害、大規模なデータ窃取、あるいは壊滅的なランサムウェア展開への土台を築くものです。ただし、Microsoftは、この特定のキャンペーンによってドメイン全体の完全な乗っ取りが達成されたことを公式には確認していません。

防御戦略と緩和策

セキュリティ専門家は、従業員に対し、予期しない技術サポートの依頼は必ず独自に確認するよう強く推奨しています。この確認には、確立された社内の通信チャネルを利用する必要があります。管理者は、外部とのTeams通信を信頼できるドメインのみに制限すべきです。組織は、明示的に承認されたリモートアシスタンスアプリケーションのみを許可する必要があります。さらに、IT部門はWinRMへのアクセスを、指定された管理用ワークステーションのみに制限しなければなりません。管理者は不審なネットワーク接続を積極的に監視し、侵害されたデバイスからアクセス可能なパスワードは直ちにリセットする必要があります。