Microsoft、Teamsユーザーへのランサムウェア攻撃を阻止

Ink Drop – shutterstock.com

リモートワークの普及に伴い、コラボレーションツールはサイバー犯罪者の標的となり続けています。Microsoftは最近、偽のTeamsインストーラーを使ったランサムウェアグループ「Vanilla Tempest」の攻撃キャンペーンを発見しました。

攻撃の手口

攻撃者は、悪意のあるドメインにホストされた偽のMSTeamsSetup.exeファイルを使用しました。目的は、無防備なTeamsユーザーを偽のMicrosoftページに誘導することでした。Teamsセットアップをクリックするとローダーが実行され、さらに不正に署名されたOysterバックドアが展開されました。この方法で恐喝型マルウェア「Rhysida」を送り込もうとしたのです。

Microsoftによると、このキャンペーンを初めて検知したのは2025年9月末で、テレメトリデータが信頼された署名インフラの悪用を示していました。攻撃者は侵害された署名サービスを通じて正規の署名を入手していました。影響を受けた認証局にはSSL.com、DigiCert、GlobalSignが含まれていました。

対策

ソフトウェア大手は最近、マルウェアの拡散を防ぐために200件以上の不正なコード署名証明書を失効させました。さらにMicrosoftは、Defender Antivirusが完全に有効化されていればこの脅威をブロックできると強調しています。加えて、Microsoft Defender for Endpointはこの攻撃の防御や調査のための追加ガイダンスも提供しています。