- Arctic Wolf分析逾400宗涉及濫用Microsoft Teams外部聊天進行社交工程及取得初始入侵的事件。
- 攻擊者反覆使用資訊科技主題名稱、親切的名字及Internal標籤，削弱外部用戶警告。
- Arctic Wolf表示，有關活動沒有利用已知Teams漏洞。
Arctic Wolf Labs於2026年10月26日表示，攻擊者濫用Microsoft Teams外部聊天冒充資訊科技支援人員，並尋求取得初始入侵。安全公司分析了逾400宗涉及有關活動的事件。
攻擊者使用資訊科技主題顯示名稱、親切的名字及Internal標籤，削弱Teams對外部用戶的警告。
Arctic Wolf表示，有關活動沒有利用已知Teams漏洞，而是濫用一項合法且預設啟用的協作功能。
攻擊者以假支援身份快速鎖定目標
Arctic Wolf Labs表示，分析個案中有30%至40%涉及預設的onmicrosoft.com租戶網域。這些網域毋須驗證，可在數分鐘內配置，讓攻擊者以極少設定取得可運作的Teams身份。
在這些騙案中發現的付費網域，約50%使用.top頂級網域，約40%使用.com，略多於5%使用多層網域，例如.com.pl、.com.vn及.com.br。
在大量個案中，惡意Teams聯絡人出現前或同時伴隨郵件轟炸。客戶報告稱，收件匣在數分鐘內被數百封電子通訊或訂閱確認通知淹沒。
攻擊者通常在約五分鐘內鎖定多名用戶，很可能透過自動化進行；客戶報告的攻擊鏈在受害者互動後不到15分鐘便執行載荷。
事件經過
Arctic Wolf列出Quick Assist、AnyDesk、ScreenConnect、TeamViewer、Atera、Zoho Assist、NetSupport及LogMeIn為這些騙案中最常觀察到的RMM工具。
Arctic Wolf建議限制外部聊天及遠端工具
Arctic Wolf建議在Teams管理中心設定外部存取，只允許特定受信任外部網域，然後只加入機構積極合作的夥伴網域。
Arctic Wolf表示，防守者可在聊天建立時、用戶與攻擊者互動前偵測有關活動，形成識別及中斷攻擊的窗口。
Arctic Wolf表示，攻擊者通常在約五分鐘內鎖定多名用戶，而根據客戶報告，受害者互動後不到15分鐘便執行載荷。
防守方現在要做甚麼
- 加強遠端存取途徑：限制Quick Assist只供獲授權的資訊科技職位使用，或在無需使用時移除；封鎖或解除安裝未獲批准的RMM工具。
常見問題
Microsoft Teams外部聊天行動發生了甚麼事？
攻擊者濫用Microsoft Teams外部聊天冒充資訊科技支援人員，並尋求取得初始入侵。Arctic Wolf分析了逾400宗相關事件。
攻擊者有否利用Microsoft Teams漏洞？
沒有。Arctic Wolf表示，有關活動沒有利用已知Teams漏洞，而是濫用一項合法且預設啟用的協作功能。
攻擊者如何在Teams冒充資訊科技支援人員？
他們使用資訊科技主題顯示名稱、親切的名字及Internal標籤，削弱用戶屬於外部人士的警告。
Teams騙案使用了哪些遠端存取工具？
Arctic Wolf列出Quick Assist、AnyDesk、ScreenConnect、TeamViewer、Atera、Zoho Assist、NetSupport及LogMeIn為最常觀察到的RMM工具。
互動後攻擊可多快推進？
Arctic Wolf表示，攻擊者通常在約五分鐘內鎖定多名用戶，並在受害者互動後不到15分鐘執行載荷。
來源
- Beyond the Inbox: How Threat Actors Abuse Microsoft Teams External Chat for Initial Access - Arctic Wolf, Arctic Wolf Labs原始文件
- GhostCode: Dissecting a Novel Device Code Phishing Kit, eSentire原始文件
- OAuth redirection abuse enables phishing and malware delivery | Microsoft Security Blog, Microsoft原始文件
- Attackers Use Microsoft Teams IT Support Scams to Deploy Malware and Ransomware, The Hacker News
- GhostCode attackers abuse device codes to take over Microsoft 365 accounts, Computerworld
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| Arctic Wolf Labs分析逾400宗涉及濫用Microsoft Teams外部聊天進行社交工程及取得初始入侵的事件。 | Arctic Wolf Labs | 已證實 |
| Arctic Wolf表示，攻擊者反覆使用資訊科技主題顯示名稱、親切的名字及Internal標籤，削弱Teams對外部用戶的警告。 | Arctic Wolf Labs | 已證實 |
| Arctic Wolf表示，分析個案中有30%至40%涉及預設的onmicrosoft.com租戶網域，而這些網域可在數分鐘內配置。 | Arctic Wolf Labs | 已證實 |
| Arctic Wolf表示，付費網域的假身份在約50%的已識別個案使用.top網域，約40%使用.com，略多於5%使用多層網域。 | Arctic Wolf Labs | 已證實 |
| Arctic Wolf表示，郵件轟炸經常在惡意Teams聯絡人出現前或同時發生，在數分鐘內以數百封確認通知淹沒收件匣。 | Arctic Wolf Labs | 已證實 |
| Arctic Wolf表示，攻擊者通常在約五分鐘內鎖定多名用戶，並在互動後不到15分鐘執行載荷。 | Arctic Wolf Labs | 已證實 |
| Arctic Wolf表示，報告的活動沒有利用已知Teams漏洞，而是濫用一項合法且預設啟用的協作功能。 | Arctic Wolf Labs | 已證實 |
| Arctic Wolf建議只允許與特定受信任外部網域進行Teams外部聊天。 | Arctic Wolf Labs | 已證實 |
| Arctic Wolf表示，防守者可在ChatCreated階段、用戶與攻擊者互動前偵測有關活動。 | Arctic Wolf Labs | 已證實 |
| The Hacker News報道，Sophos指這些攻擊已導致部署Chaos勒索軟件。 | Sophos, via The Hacker News | 引述 |
| The Hacker News報道，有關活動與STAC4749一致；該組織曾在.top頂級網域下建立資訊科技主題雲端網域。 | The Hacker News | 引述 |
| Computerworld報道，GhostCode利用Microsoft的OAuth 2.0裝置授權授予流程取得驗證權杖。 | Computerworld | 引述 |
| Computerworld報道，攻擊者利用被竊取的權杖註冊由攻擊者控制的裝置、取得額外憑證及建立持久性。 | Computerworld | 引述 |
| Computerworld報道，GhostCode行動涉及攻擊者冒充採購主任，然後將受害者轉至以保密協議為主題的HTML檔案。 | Computerworld | 引述 |
| Computerworld報道，eSentire在驗證後78秒內記錄九次成功的API呼叫。 | Computerworld | 引述 |
| Sentire表示，computerworld報道三部裝置在驗證後第28、53及77秒註冊。 | Sentire, via Computerworld | 引述 |
| Sentire表示，computerworld報道第三部裝置被註冊至Intune；即使撤銷權杖，除非明確移除，仍會留在租戶內。 | Sentire, via Computerworld | 引述 |
| Computerworld報道，eSentire稱取得的Primary Refresh Token是Microsoft身份環境中最強大的憑證之一。 | Computerworld | 引述 |
| eSentire表示，該公司於2026年8月底識別GhostCode，當時這是一項透過網絡聯絡表格散布的活躍裝置代碼釣魚行動。 | eSentire | 已證實 |
| eSentire表示，GhostCode受害者被引導至Microsoft的合法登入頁面，並獲提示輸入攻擊者提供的用戶代碼。 | eSentire | 已證實 |
| eSentire表示，2026年8月註冊了逾30個冒充美國公司的相似網域，顯示一項針對服務供應商的更廣泛行動。 | eSentire | 已證實 |
| eSentire表示，攻擊者在78秒內利用被竊取的權杖發出九次成功的API呼叫，其後請求使用python-requests/2.34.2。 | eSentire | 已證實 |
| eSentire表示，該公司撤銷受入侵的權杖授予、重設受害者憑證，並停用三部由攻擊者註冊的裝置。 | eSentire | 已證實 |
| eSentire表示，MFA無法防範裝置代碼釣魚，因為權杖會沿用MFA聲明。 | eSentire | 已證實 |
| eSentire表示，GhostCode在78秒內完成三次裝置註冊並取得Primary Refresh Token。 | eSentire | 已證實 |
| Microsoft表示，攻擊者在針對政府及公共機構的釣魚行動中，濫用OAuth按設計運作的重新導向機制。 | Microsoft | 已證實 |
| Microsoft表示，攻擊者使用惡意OAuth應用程式並操弄參數，將受害者重新導向至攻擊者控制的基礎設施。 | Microsoft | 已證實 |
| Microsoft表示，已識別並移除多個惡意OAuth應用程式，以減輕威脅。 | Microsoft | 已證實 |
| Microsoft表示，攻擊者利用OAuth重新導向行動傳送載有LNK捷徑檔案及HTML走私載入器的ZIP壓縮檔。 | Microsoft | 已證實 |
| arcticwolf.com於2026年10月26日發布報告。 | arcticwolf.com | 已證實 |
| esentire.com於2026年9月15日發布報告。 | esentire.com | 已證實 |
| Microsoft於2026年3月2日發布報告。 | Microsoft | 已證實 |
未能核實
- 除所述個案外，這項行動是否造成已確認的入侵或勒索軟件部署，未有確立
- 受影響的機構或用戶數目，未有確立
- 有關活動是否由STAC4749運作，未有確立
- 是否有任何Microsoft Teams漏洞被利用，未有確立
