ハッカーがMicrosoft Teamsでサポート担当者になりすまし、従業員のPCを乗っ取る手口

攻撃者がMicrosoft Teamsの外部連携機能を悪用し、社内のITサポートやヘルプデスク担当者になりすまして従業員PCの遠隔操作権限を得たうえで、企業の重要インフラへ侵入を進めるという、人手による標的型侵入キャンペーンが確認されました。

このキャンペーンはMicrosoft Teamsの脆弱性を悪用するものではありません。その代わりに、見慣れたサポート業務への信頼につけ込み、Teamsのチャットや通話、リモートアシスタンスツール、PowerShell、悪意あるMSIインストーラー、ポータブル版Node.jsバイナリ、そしてWindows標準の管理プロトコルを組み合わせて攻撃を行います。

その結果、単一の従業員端末からドメインコントローラーや認証局にまで到達し得る、攻撃者が手動で操作する侵入行為に発展します。

攻撃者は外部のMicrosoft 365テナントからIT サポート担当者を装って接触を開始します。

セキュリティアップデート、スパムフィルターの変更、アカウント確認の要求、あるいはアカウント無効化を警告する内容など、緊急性を装った誘導文言を使ってユーザーに圧力をかけ、画面共有の「制御を要求」プロンプトを承諾させたり、Quick Assistのアクセスコードを共有させたりします。

セキュリティ製品とサービス

Microsoftは、この初期アクセス手法をMITRE ATT&CKのT1566.003(サービスを介したスピアフィッシング)に分類しています。

この手法が特に有効なのは、やり取りが従来型のフィッシングメールではなく、企業向けコラボレーションアプリ上で行われる点にあります。

攻撃者は場合によって、Teamsでの接触に加えて音声フィッシング(ビッシング)を併用することもあります。

電話やTeams通話を使えば、攻撃者はチャットのログに悪意あるコマンドやURLを残すことなく、ソフトウェアのインストールやリモートアクセスの許可をターゲットに直接誘導できます。

被害者が正規のリモート監視・管理ツールまたはQuick Assistを通じて制御権を渡すと、攻撃者はPowerShellを起動し、クラウドストレージから悪意あるWindowsインストーラーパッケージをダウンロードします。

このMSIファイルは、/qnスイッチを使ってmsiexecでサイレントインストールされるため、被害者にはインストール画面が一切表示されません。

このインストーラーは通常、「devfix」や「Hotfix」といった無害な更新プログラムを装った名前が付けられています。現在のユーザーのLocalAppDataフォルダーに、スクリプトベースのローダーと暗号化されたJavaScriptインプラントを配置します。

ホスト上にNode.jsが存在しない場合、マルウェアは公式配布サイトから正規のポータブル版Node.jsランタイムを取得します。

この手法により攻撃者は、明らかに悪意のあるカスタム実行ファイルを展開する必要を最小限に抑えつつ、署名済みで信頼されたJavaScript実行環境を手に入れることができます。

PowerShell、cmd.exe、あるいはWScriptを通じて起動される隠しブートストラップコードがインプラントを復号し、一時ファイル経由または標準入力経由でNode.jsを通じて実行します。

永続化のため、確認されたMSIパッケージはHKEY_CURRENT_USER\Runレジストリキー、またはユーザーのスタートアップフォルダーのいずれかにEdgeUpdateというエントリを作成していました。

この永続化の仕組みにより、ユーザーがサインインするたびにNode.jsと配置済みのローダーが起動します。

Microsoft脅威インテリジェンスの観測によれば、Teamsは外部テナントであることを示すラベルや「承諾」「ブロック」のプロンプト、メッセージのプレビュー、フィッシングの兆候などを表示しますが、このキャンペーンは被害者が自らこうした警告を無視して行動することに依存しています。

インプラントは、ランダム化されたHTTPSロングポーリングを通じてコマンド&コントロール基盤と通信します。

Microsoft TeamsにおけるITサポート

C2からの応答はJavaScriptとして扱われ、動的に実行されるため、攻撃者はプロセス実行、ファイルシステム操作、環境変数、Node.jsのモジュールにアクセスできるようになります。

Microsoftは、攻撃者がホスト情報、ディスク情報、ロケール、ハードウェア情報、アンチウイルス情報、仮想化環境の情報を収集していることを確認しました。

このインプラントはスクリーンショットも取得し、画像のサイズを変更してBase64エンコードしたうえで、一時ファイルを介して外部に持ち出します。

回収されたある亜種には、Ethereumのスマートコントラクトから更新後のC2アドレスを取得する無効化されたロジックが含まれていましたが、実際に解析されたビルドではハードコードされたフォールバックサーバーが使用されていました。

足がかりを確立したことを確認した後、攻撃者はネイティブコマンドやADSIクエリを使って、Active Directoryのアカウント、ユーザー、サーバー、ユーザーの説明フィールドを列挙します。

また、rundll32.exeを使って攻撃者が用意したDLLを実行し、後続のペイロード実行を通常のWindowsの活動に紛れ込ませます。

最も深刻な段階は、横方向への侵害拡大(ラテラルムーブメント)です。このNode.jsバックドアは、TCPポート5985経由でWindows Remote Management接続を確立し、ファイルサーバー、データベース、アプリケーションサーバー、ドメインコントローラー、認証局を含むドメイン参加済みのシステムへとアクセスを広げます。

ユーザーコンテキストで動作するプロセスから起動されたWinRMは、侵害された端末から資格情報を用いたリモート実行が行われていることを示唆する、価値の高い検知シグナルとなります。

組織は、ITサポートを名乗る予期しない外部からのTeamsメッセージや通話は不審なものとして扱い、従業員に対して既知の社内チャネルを使って要求の真偽を確認するよう求めるべきです。

Teamsの外部連携は、可能な限り承認済みドメインのみに制限すべきです。

セキュリティチームは、リモートサポートセッションの後にPowerShell、cmd.exe、WScript、msiexec.exeが実行されるケース、LocalAppData内のスクリプトをNode.jsが実行するケース、EdgeUpdateのRunキーやスタートアップフォルダーによる永続化の作成、そして一般ユーザーのワークステーションから発生するWinRMトラフィックについても監視すべきです。

セキュリティ製品とサービス

WinRMを許可された管理ホストのみに制限すること、RMMツールを適切に管理すること、フィッシング耐性のあるMFAと条件付きアクセスを強制すること、そしてエンドポイント保護機能を有効にすることにより、攻撃者が偽装されたTeamsチャットを企業全体を巻き込む侵害へと発展させる機会を減らすことができます。

Microsoftは、このような活動を示す痕跡を発見した組織に対し、ネットワークレベルでのアクセスがすでに取得されたものと想定し、侵害された端末からアクセス可能な資格情報をローテーションするよう推奨しています。

侵害指標(IOC)

注: IPアドレスとドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(例: [.])にしています。再有効化(re-fang)は、MISP、VirusTotal、あるいは自社のSIEMなど、管理された脅威インテリジェンス基盤上でのみ行ってください。

★ 7段階のメトリクス・ゲート方式によるAI SOC導入フェーズを学ぶ – 無料のAI SOC導入プレイブック2026をダウンロード。