重點
- Arctic Wolf分析逾400宗涉及濫用Microsoft Teams外部聊天的事件。
- 客戶報告的攻擊鏈顯示，受害者作出回應後不足15分鐘便執行載荷。
- 有關活動濫用合法且預設開啟的Teams功能，而非已知Teams漏洞。
Arctic Wolf於2026年10月26日報告，威脅行為者曾在逾400宗涉及社交工程及初步入侵的事件中，濫用Microsoft Teams外部聊天。
根據客戶報告的攻擊鏈，攻擊者使用以資訊科技為主題的顯示名稱及「Internal」標籤，受害者作出回應後不足15分鐘便執行載荷。
攻擊者冒充IT支援人員並使用遠程存取工具
Arctic Wolf表示，攻擊者屢次冒充資訊科技支援人員，使用聽來友善的名字及「Internal」標籤，以削弱Teams對外部用戶的警告。在分析個案中，30%至40%涉及預設的onmicrosoft.com租戶網域，這些網域毋須驗證，並可在數分鐘內完成配置。
其中一條攻擊鏈由PowerShell命令開始
在一宗已觀察個案中，攻擊者指示用戶執行PowerShell命令及啟動已下載檔案。
Arctic Wolf建議只容許與指定合作夥伴網域進行外部Teams聊天。該公司亦建議限制Quick Assist僅供獲授權的資訊科技職務使用，在不使用時移除，並封鎖或卸載未獲批准的遠程監控工具。
Arctic Wolf表示，有關活動並非利用任何已知Teams漏洞，而是濫用合法且預設開啟的協作功能。
防守方現在要做甚麼
- 加強遠程存取途徑：封鎖Quick Assist或限制其僅供獲授權的資訊科技職務使用，或在不使用時移除，並封鎖或卸載未獲批准的RMM工具。
常見問題
Microsoft Teams外部聊天活動發生了甚麼事？
Arctic Wolf分析逾400宗涉及濫用Teams外部聊天進行社交工程及初步入侵的事件。
攻擊者可多快執行載荷？
客戶報告的攻擊鏈顯示，威脅行為者在受害者作出回應後不足15分鐘便執行載荷。
這次活動是否利用Microsoft Teams漏洞？
Arctic Wolf表示，有關活動並非利用已知Teams漏洞，而是濫用合法且預設開啟的協作功能。
哪些組織可能受Teams活動影響？
容許外部Teams存取的組織，在雙方租戶均容許外部存取時，可能收到來自其他Microsoft 365租戶用戶的聊天、來電或聯絡請求。
組織如何限制這類Teams活動？
Arctic Wolf建議在Teams管理中心選擇「Allow only specific external domains」，並只加入組織積極合作的合作夥伴網域。
來源
- Beyond the Inbox: How Threat Actors Abuse Microsoft Teams External Chat for Initial Access - Arctic Wolf, Arctic Wolf原始文件
- External Teams Chats Anchor 15-Minute Malware Delivery, Dark Reading
- Attackers Exploit Teams External Chat to Breach Organizations in Under 15 Minutes, Infosecurity Magazine
- Microsoft Teams phishing pushes DarkGate malware via group chats, BleepingComputer
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| Arctic Wolf分析逾400宗涉及濫用Microsoft Teams外部聊天進行社交工程及初步入侵的事件。 | Arctic Wolf | 已證實 |
| Microsoft Teams外部存取功能預設開啟，當雙方租戶均容許時，其他Microsoft 365租戶的用戶可尋找員工、與其聊天及致電。 | Arctic Wolf | 已證實 |
| 在分析個案中，30%至40%涉及預設的onmicrosoft.com租戶網域，這些網域毋須驗證，並可在數分鐘內完成配置。 | Arctic Wolf | 已證實 |
| 攻擊者使用以資訊科技為主題的顯示名稱及「Internal」標籤，以削弱Teams對外部用戶的警告。 | Arctic Wolf | 已證實 |
| 根據客戶報告的攻擊鏈，攻擊者在受害者作出回應後不足15分鐘便執行載荷。 | Arctic Wolf | 已證實 |
| 在一宗已觀察個案中，攻擊者指示用戶執行PowerShell命令及啟動已下載檔案。 | Arctic Wolf | 已證實 |
| Arctic Wolf表示，有關活動並非利用已知Teams漏洞，而是濫用合法且預設開啟的協作功能。 | Arctic Wolf | 已證實 |
| Arctic Wolf建議只容許與指定合作夥伴網域進行外部Teams聊天。 | Arctic Wolf | 已證實 |
| Infosecurity Magazine報道，研究人員觀察到逾400宗涉及濫用Teams外部聊天的事件。 | Infosecurity Magazine | 引述 |
| Infosecurity Magazine報道，研究報告於2026年10月26日發表。 | Infosecurity Magazine | 引述 |
| BleepingComputer報道，新型網絡釣魚攻擊濫用Microsoft Teams群組聊天請求，傳送安裝DarkGate的惡意附件。 | BleepingComputer | 引述 |
| arcticwolf.com於2026年10月26日發表報告。 | arcticwolf.com | 已證實 |
未能核實
- 該活動是否由Black Basta進行，尚未確立。
- 有關活動是否涉及在實際環境中利用軟件漏洞，尚未確立。
- 有多少組織或受害者遭入侵，尚未確立。
- BleepingComputer報道的DarkGate活動是否與Arctic Wolf活動有關，尚未確立。
