重点
- Arctic Wolf分析了400多起涉及滥用Microsoft Teams外部聊天的事件。
- 客户报告的攻击链显示，受害者参与后不到15分钟便执行了有效载荷。
- 该活动滥用的是合法且默认启用的Teams功能，而不是已知的Teams漏洞。
Arctic Wolf于2026年10月26日报告，威胁行为者在400多起涉及社会工程和初始访问的事件中滥用了Microsoft Teams外部聊天。
根据客户报告的攻击链，攻击者使用带有IT主题的显示名称和Internal标签，在受害者参与后不到15分钟便执行了有效载荷。
攻击者使用Teams冒充和远程访问工具
Arctic Wolf表示，攻击者反复冒充IT支持人员，使用听起来友好的名字和Internal标签，以削弱Teams中的外部用户警告。在分析的案例中，30%至40%涉及默认的onmicrosoft.com租户域名，这些域名无需验证，并可在几分钟内配置完成。
一条攻击链始于PowerShell命令
在一个被观察到的案例中，攻击者指示用户运行PowerShell命令并启动下载的文件。
Arctic Wolf建议仅允许与特定合作伙伴域名进行外部Teams聊天。该机构还建议将Quick Assist限制给获授权的IT角色，在未使用时将其删除，并阻止或卸载未经批准的远程监控工具。
Arctic Wolf表示，该活动并未利用任何已知的Teams漏洞，而是滥用了合法且默认启用的协作功能。
防守方现在要做什么
- 强化远程访问路径：将Quick Assist限制给获授权的IT角色，或在未使用时将其删除，并阻止或卸载未经批准的RMM工具。
常见问题
Microsoft Teams外部聊天活动发生了什么？
Arctic Wolf分析了400多起涉及滥用Teams外部聊天进行社会工程和初始访问的事件。
攻击者能多快执行有效载荷？
客户报告的攻击链显示，威胁行为者在受害者参与后不到15分钟便执行了有效载荷。
该活动是否利用了Microsoft Teams漏洞？
Arctic Wolf表示，该活动并未利用已知的Teams漏洞，而是滥用了合法且默认启用的协作功能。
哪些组织可能受到Teams活动影响？
允许外部Teams访问的组织，可能会在两个租户都允许外部访问时，收到来自其他Microsoft 365租户用户的聊天、呼叫或联系请求。
组织如何限制这类Teams活动？
Arctic Wolf建议在Teams管理中心选择「仅允许特定外部域名」，并仅添加组织积极合作的合作伙伴域名。
来源
- Beyond the Inbox: How Threat Actors Abuse Microsoft Teams External Chat for Initial Access - Arctic Wolf, Arctic Wolf原始文件
- External Teams Chats Anchor 15-Minute Malware Delivery, Dark Reading
- Attackers Exploit Teams External Chat to Breach Organizations in Under 15 Minutes, Infosecurity Magazine
- Microsoft Teams phishing pushes DarkGate malware via group chats, BleepingComputer
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| Arctic Wolf分析了400多起涉及滥用Microsoft Teams外部聊天进行社会工程和初始访问的事件。 | Arctic Wolf | 已证实 |
| Microsoft Teams外部访问默认开启，当两个租户都允许时，其他Microsoft 365租户中的用户可以查找、聊天并呼叫员工。 | Arctic Wolf | 已证实 |
| 在分析的案例中，30%至40%涉及默认的onmicrosoft.com租户域名，这些域名无需验证，并可在几分钟内配置完成。 | Arctic Wolf | 已证实 |
| 攻击者使用带有IT主题的显示名称和Internal标签，以削弱Teams中的外部用户警告。 | Arctic Wolf | 已证实 |
| 根据客户报告的攻击链，攻击者在受害者参与后不到15分钟便执行了有效载荷。 | Arctic Wolf | 已证实 |
| 在一个被观察到的案例中，攻击者指示用户运行PowerShell命令并启动下载的文件。 | Arctic Wolf | 已证实 |
| Arctic Wolf表示，该活动并未利用已知的Teams漏洞，而是滥用了合法且默认启用的协作功能。 | Arctic Wolf | 已证实 |
| Arctic Wolf建议仅允许与特定合作伙伴域名进行外部Teams聊天。 | Arctic Wolf | 已证实 |
| Infosecurity Magazine报道，研究人员观察到400多起涉及滥用Teams外部聊天的事件。 | Infosecurity Magazine | 引述 |
| Infosecurity Magazine报道，该研究报告于2026年10月26日发布。 | Infosecurity Magazine | 引述 |
| BleepingComputer报道，新的网络钓鱼攻击滥用Microsoft Teams群聊请求，发送安装DarkGate的恶意附件。 | BleepingComputer | 引述 |
| arcticwolf.com于2026年10月26日发布了报告。 | arcticwolf.com | 已证实 |
未能核实
- 尚未确定该活动是否由Black Basta实施。
- 尚未确定该活动是否涉及在野外利用软件漏洞。
- 尚未确定有多少组织或受害者遭到入侵。
- 尚未确定BleepingComputer报道的DarkGate活动是否与Arctic Wolf活动有关。
