- Arctic Wolf分析了超过400起事件，这些事件涉及滥用微软Teams外部聊天进行社会工程和初始访问。
- 攻击者反复使用IT主题名称、友好的名字和Internal标签，以弱化外部用户警告。
- 据Arctic Wolf称，该活动没有利用已知的Teams漏洞。
Arctic Wolf Labs于2026年10月26日表示，攻击者滥用微软Teams外部聊天冒充IT支持人员并寻求初始访问。这项活动涉及这家安全公司分析的超过400起事件。
攻击者使用IT主题显示名称、友好的名字和Internal标签，削弱Teams中的外部用户警告。
Arctic Wolf表示，该活动没有利用已知的Teams漏洞，而是滥用了一个合法且默认启用的协作功能。
攻击者将虚假支持身份与快速定向结合
Arctic Wolf Labs表示，在分析的案例中，30%至40%涉及默认的onmicrosoft.com租户域名。这些域名无需验证，几分钟内即可配置，为攻击者提供一个只需极少设置即可使用的Teams身份。
在这些诈骗中发现的付费域名里，约50%使用.top顶级域名，约40%使用.com，略高于5%使用.com.pl、.com.vn和.com.br等多级域名。
在相当多的案例中，恶意Teams联系人之前或同时出现了邮件轰炸。客户报告称，收件箱在几分钟内被数百封新闻邮件或订阅确认邮件淹没。
攻击者通常在约5分钟内针对多个用户，这很可能通过自动化完成；客户报告的攻击链在用户互动后不到15分钟内就执行了载荷。
事件经过
Arctic Wolf列出Quick Assist、AnyDesk、ScreenConnect、TeamViewer、Atera、Zoho Assist、NetSupport和LogMeIn为这些诈骗中最常观察到的RMM工具。
Arctic Wolf建议限制外部聊天和远程工具
Arctic Wolf建议配置Teams管理中心的外部访问，仅允许特定的受信任外部域名，然后只添加组织积极合作的合作伙伴域名。
Arctic Wolf表示，防御者可以在创建聊天时、用户与攻击者互动之前检测到该活动。这会产生识别和中断攻击的窗口。
Arctic Wolf表示，攻击者通常在约5分钟内针对多个用户，据客户报告，用户互动后不到15分钟就执行了载荷。
防守方现在要做什么
- 强化远程访问路径：阻止或限制Quick Assist，仅允许授权IT角色使用；如果不使用则移除，并阻止或卸载未经批准的RMM工具。
常见问题
微软Teams外部聊天活动发生了什么？
攻击者滥用微软Teams外部聊天冒充IT支持人员并寻求初始访问。Arctic Wolf分析了超过400起相关事件。
攻击者是否利用了微软Teams漏洞？
没有。Arctic Wolf表示，该活动没有利用已知Teams漏洞，而是滥用了合法且默认启用的协作功能。
攻击者如何在Teams中冒充IT支持人员？
他们使用IT主题显示名称、友好的名字和Internal标签，削弱用户是外部用户的警告。
Teams诈骗中使用了哪些远程访问工具？
Arctic Wolf列出Quick Assist、AnyDesk、ScreenConnect、TeamViewer、Atera、Zoho Assist、NetSupport和LogMeIn为最常观察到的RMM工具。
互动后攻击可以多快推进？
Arctic Wolf表示，攻击者通常在约5分钟内针对多个用户，并在受害者互动后不到15分钟内执行载荷。
来源
- Beyond the Inbox: How Threat Actors Abuse Microsoft Teams External Chat for Initial Access - Arctic Wolf, Arctic Wolf Labs原始文件
- GhostCode: Dissecting a Novel Device Code Phishing Kit, eSentire原始文件
- OAuth redirection abuse enables phishing and malware delivery | Microsoft Security Blog, Microsoft原始文件
- Attackers Use Microsoft Teams IT Support Scams to Deploy Malware and Ransomware, The Hacker News
- GhostCode attackers abuse device codes to take over Microsoft 365 accounts, Computerworld
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| Arctic Wolf Labs分析了超过400起涉及滥用微软Teams外部聊天进行社会工程和初始访问的事件。 | Arctic Wolf Labs | 已证实 |
| Arctic Wolf表示，攻击者反复使用IT主题显示名称、友好的名字和Internal标签，削弱Teams对外部用户的警告。 | Arctic Wolf Labs | 已证实 |
| Arctic Wolf表示，30%至40%的分析案例涉及默认的onmicrosoft.com租户域名，这些域名可在几分钟内配置。 | Arctic Wolf Labs | 已证实 |
| Arctic Wolf表示，在已识别案例中，付费域名虚假身份约50%使用.top域名，约40%使用.com，略高于5%使用多级域名。 | Arctic Wolf Labs | 已证实 |
| Arctic Wolf表示，邮件轰炸经常通过在几分钟内发送数百封确认邮件，先于或伴随恶意Teams联系人出现。 | Arctic Wolf Labs | 已证实 |
| Arctic Wolf表示，攻击者通常在约5分钟内针对多个用户，并在用户互动后不到15分钟内执行载荷。 | Arctic Wolf Labs | 已证实 |
| Arctic Wolf表示，报告的活动没有利用已知Teams漏洞，而是滥用了合法且默认启用的协作功能。 | Arctic Wolf Labs | 已证实 |
| Arctic Wolf建议仅允许与特定受信任外部域名进行Teams外部聊天。 | Arctic Wolf Labs | 已证实 |
| Arctic Wolf表示，防御者可以在ChatCreated阶段、用户与攻击者互动之前检测到该活动。 | Arctic Wolf Labs | 已证实 |
| The Hacker News报道称，据Sophos称，这些攻击已导致部署Chaos勒索软件。 | Sophos, via The Hacker News | 引述 |
| The Hacker News报道称，该活动与STAC4749一致，后者曾在.top顶级域名下创建IT主题云域名。 | The Hacker News | 引述 |
| Computerworld报道称，GhostCode利用微软OAuth 2.0设备授权授予流程获取身份验证令牌。 | Computerworld | 引述 |
| Computerworld报道称，攻击者利用被盗令牌注册攻击者控制的设备、获取其他凭据并建立持久性。 | Computerworld | 引述 |
| Computerworld报道称，GhostCode活动涉及攻击者冒充采购人员，然后将受害者引导至以NDA为主题的HTML文件。 | Computerworld | 引述 |
| Computerworld报道称，eSentire在身份验证后78秒内记录了9次成功的API调用。 | Computerworld | 引述 |
| Sentire表示，Computerworld报道称，3台设备分别在身份验证后28秒、53秒和77秒注册。 | Sentire, via Computerworld | 引述 |
| Sentire表示，Computerworld报道称，第3台设备被注册到Intune，即使令牌被撤销，该设备仍留在租户中，直到被明确移除。 | Sentire, via Computerworld | 引述 |
| Computerworld报道称，eSentire称获得的Primary Refresh Token是微软身份环境中最强大的凭据之一。 | Computerworld | 引述 |
| eSentire表示，其于2026年8月下旬发现GhostCode，当时这是一个通过网络联系表单传播的活跃设备代码钓鱼活动。 | eSentire | 已证实 |
| eSentire表示，GhostCode受害者被引导至微软合法的登录页面，并被要求输入攻击者提供的用户代码。 | eSentire | 已证实 |
| eSentire表示，2026年8月注册了超过30个冒充美国公司的类似域名，这表明存在针对服务提供商的更广泛活动。 | eSentire | 已证实 |
| eSentire表示，攻击者在78秒内使用被盗令牌发出9次成功的API调用，后续请求使用python-requests/2.34.2。 | eSentire | 已证实 |
| eSentire表示，其撤销了被入侵的令牌授予，重置了受害者凭据，并禁用了攻击者注册的全部3台设备。 | eSentire | 已证实 |
| eSentire表示，多因素身份验证无法防御设备代码钓鱼，因为令牌会延续多因素身份验证声明。 | eSentire | 已证实 |
| eSentire表示，GhostCode在78秒内完成3台设备注册并获得Primary Refresh Token。 | eSentire | 已证实 |
| 微软表示，攻击者在针对政府和公共部门组织的钓鱼活动中，滥用了OAuth按设计存在的重定向机制。 | Microsoft | 已证实 |
| 微软表示，攻击者使用恶意OAuth应用并操纵参数，将受害者重定向至攻击者控制的基础设施。 | Microsoft | 已证实 |
| 微软表示，为减轻威胁，已识别并移除多个恶意OAuth应用。 | Microsoft | 已证实 |
| 微软表示，攻击者利用OAuth重定向活动投递包含LNK快捷方式文件和HTML走私加载器的ZIP压缩包。 | Microsoft | 已证实 |
| arcticwolf.com于2026年10月26日发布了报告。 | arcticwolf.com | 已证实 |
| esentire.com于2026年9月15日发布了报告。 | esentire.com | 已证实 |
| 微软于2026年3月2日发布了报告。 | Microsoft | 已证实 |
未能核实
- 无法确定该活动是否在所述案例之外造成了已确认的入侵或勒索软件部署
- 无法确定有多少组织或用户受到影响
- 无法确定该活动是否由STAC4749实施
- 无法确定是否利用了任何微软Teams漏洞
