Arctic Wolf警告微软Teams冒充IT支持攻击已观察400多起

据TechRadar 10月27日报道，网络安全公司Arctic Wolf警告，一起持续进行的社交工程攻击正利用微软Teams冒充IT支持人员，诱导企业员工交出设备远程访问权限；研究人员已在400多起事件中观察到相同模式，攻击者目的可能是维持长期访问并为后续恶意软件或勒索软件攻击做准备。

Arctic Wolf在报告中说，攻击通常从目标企业一名员工的邮箱开始：短时间内收到数百甚至数千封垃圾邮件，正常邮件被淹没。随后，该员工会收到Teams消息，发送者显示名称类似“IT Service Desk”，有时还带有Liam、Ethan或Scott等名字。对方声称已得知受害者的邮箱问题，并提出协助解决。

为“解决问题”，攻击者要求受害者提供对键盘的实地访问权限，常用手段包括让受害者打开Windows内置的Quick Assist并发送六位代码，或使用AnyDesk、ScreenConnect等合法远程监控与管理工具。报告指出，垃圾邮件和Teams消息来自同一攻击方，部分案件中攻击者还通过Teams语音通话联系受害者，以增加可信度。

Arctic Wolf称，该活动没有利用任何已知的Teams漏洞，而是滥用默认开启的协作功能。微软Teams默认允许外部访问（联合），除非企业IT团队修改设置，否则员工可以接收来自其他Microsoft 365租户账号的消息。报告称，这是攻击者最常滥用的功能，属于合法但默认开启的能力。

在获得访问权限后，攻击者会安装AnyDesk或ScreenConnect等商业RMM工具，建立另一条控制通道，以便在Quick Assist权限被撤销后仍能保留访问。研究人员称，攻击者随后会绘制目标IT网络并尽可能进行侦察，可能为后续恶意软件或勒索软件攻击做准备。

Arctic Wolf建议企业收紧Teams外部访问设置，按照微软有关使用Microsoft身份管理外部会议和聊天的指南，从“允许所有”改为仅允许可信组织列表。另一项措施是培训员工：来自Teams的消息、语音通话或电子邮件并不天然可信。