MicrosoftがTeamsの“ITサポート詐称”侵入を警告 — 外部コラボ悪用からNode.jsインプラントで企業全体へ拡大

Microsoft Threat Intelligenceは2026年9月2日、Microsoft Teamsの外部コラボレーション機能を悪用してITやヘルプデスクの担当者を装い、利用者を遠隔支援セッションへ誘導する人間操作型の侵入キャンペーンを観測したと公表した。攻撃者は正規のリモート管理ツールで端末を操作した後、PowerShellで悪性のMSIパッケージをサイレントインストールし、ポータブルなNode.jsランタイムと難読化されたJavaScriptインプラントを展開して持続的なコマンド実行とC2通信を確立する。以降はホストやActive Directoryの探索、スクリーンショットの窃取、信頼されたWindowsバイナリ経由での追加ペイロード実行、Windows Remote Management（WinRM）を使った横展開へと進むという。

Microsoftは、この手口がTeams自体の脆弱性ではなく、外部からの連絡であることを示すラベルや承認・ブロックのプロンプト、フィッシング警告といった保護機能を利用者に迂回させる社会工学に依存していると説明している。侵入は企業コラボレーションのワークフローを悪用するため、従来のメール型フィッシングへの警戒をすり抜けやすい点に注意が必要だと同社は指摘している。

外部Teams連絡から遠隔操作へ — なりすましの起点

侵入は、攻撃者が別テナントからTeamsの外部コラボ機能で接触し、内部のIT担当者を装うことから始まる。口実は「Microsoft Security Update」や「Spam Filter Update」、「Account Verification」、アカウント停止を防ぐための作業など多様だが、目的は一貫して利用者に外部接触の警告を無視させ、遠隔支援アプリの起動と昇格の承認を得ることにある。Microsoftによると、音声フィッシング（vishing）を組み合わせて信頼を高め、悪性の指示やURLをチャットのログに残さない手口も観測された。

利用者が同意すると、攻撃者は正規のリモート支援ツールで端末をインタラクティブに操作できる状態を得る。Microsoftは、遠隔支援のプロセス直後に同一デスクトップ上でcmd.exeやPowerShellが起動する連続性が、緊急性と対話性を示す兆候だとしている。

PowerShellでMSIをサイレント導入 — ポータブルNode.jsで実行環境を用意

遠隔制御を確立した直後、攻撃者はリモートセッション内のPowerShellで、攻撃者が管理するクラウドストレージ上の悪性MSIをダウンロードし、/qnスイッチでUIを抑止してサイレントインストールする。インストーラーは「devfix」や「Hotfix」といった更新を思わせる名称で偽装され、広く使われるクラウドストレージ上に置かれることで正規トラフィックに紛れ込むと同社は説明している。

インストール後、MSIはNode.js公式配布元からポータブルなNode.jsランタイムを取得し、ユーザーのLocalAppData配下のランダムなディレクトリに展開する。署名された正規ランタイムを使うことで、カスタムバイナリへの注目を避けつつJavaScript実行環境を確保する狙いだとMicrosoftは分析している。

MSIはさらに、スクリプト型のローダーと暗号化されたインプラント本体をLocalAppDataに配置する。暗号化されたインプラントはMSI内に同梱されており、実行時にローダーがメモリ上または一時的なJavaScriptファイルへ復号してNode.jsに読み込ませる。ローダーや暗号化ファイルは.tmpや.ini、.dat、.bin、.cfgといった非標準の拡張子で置かれ、標準入力経由や一時.jsの読み込みで実行される。署名付きNode.jsが非標準拡張子のローダーや標準入力からのJavaScriptを実行する挙動は、署名の有無や拡張子だけに依存する制御をすり抜ける恐れがあると同社は指摘している。

永続化はユーザー単位で確立される。解析されたMSIは「EdgeUpdate」という名称で、HKEY_CURRENT_USERのRun値またはユーザーのスタートアップフォルダーのショートカットを作成し、サインイン時にLocalAppData上のNode.jsローダーを起動する。スタートアップ方式ではWScript経由でJScriptラッパーとNode.js、非標準拡張子のローダーが連鎖し、Runキー方式ではポータブルNode.jsが直接呼び出される。

スクリーンショット窃取とAD探索 — WinRMで重要資産へ横展開

起動したインプラントはC2サーバーとHTTPSのロングポーリングで通信し、サーバーから返されるJavaScriptを動的に実行する。JavaScriptはNode.jsのモジュール読み込みやプロセス実行、環境変数やファイルシステムへのアクセスを伴い、短命のcmd.exeやPowerShellを起動してホストのハードウェアやロケール、導入済みウイルス対策製品、ディスク情報などを一括収集する。ディスプレイアダプター名やウイルス対策製品の照会は、サンドボックスや解析環境の回避チェックに相当すると同社は説明している。

C2からのタスク指示により、攻撃者は被害者の画面を繰り返しキャプチャし、画像をリサイズしてBase64化し一時ファイルへ書き出して窃取する。スケール係数を変えることで画質と転送量のバランスを調整していたという。解析されたインプラントには、Ethereumのスマートコントラクトから更新されたC2 URLを取得する休止中のロジックも含まれていたが、回収されたビルドでは無効化されハードコードされたフォールバックサーバーが使われていた。スマートコントラクト自体はURL文字列を保持するだけでマルウェア本体を含まないとMicrosoftは補足している。

足場を固めた後、攻撃者はADSI（Active Directory Service Interfaces）を用いた探索へ移る。特定のドメインアカウントの列挙や、ドメイン参加サーバーの検索、ユーザーオブジェクトのdescription属性の収集などにより、運用メモや特権アカウントの文脈を含む情報を集める。さらにWindows Serverのコンピューターオブジェクトを列挙してアドレスを解決し、管理到達性をプローブすることで、実在する高価値ターゲットのマップを作成する。ランダムなスリープのジッターやCIMベースの到達性チェックは、大量スキャンではなく静かに列挙する運用を意図したものだと同社は分析している。

追加ペイロードの実行では、C2経由の指示でrundll32.exeを用い、攻撃者が用意したDLLのエクスポート関数をトークン付きで呼び出す。rundll32によるDLL実行は、防御回避とプロキシ実行の定番的手法だとMicrosoftは位置づけている。その後、WinRMを介してドメインコントローラーなどの重要資産へピボットし、企業全体へアクセスを拡大する。Microsoftは、この一連の偵察と横展開が、データ窃取や恐喝、ランサムウェア展開といった後続目的の前段階として環境を把握し、権限昇格や防御無効化、データ持ち出しを経て組織全体へランサムウェアを展開する典型的な侵入パターンと整合するとしている。

Microsoftが推奨する対策と検出のポイント

Microsoftは、Teamsの外部コラボを悪用する本キャンペーンについて、外部テナントとのチャットを必要最小限に制限し、外部ラベルや承認プロンプトの意味を利用者へ周知すること、外部からの遠隔支援要請を安易に承認しない運用を徹底することを推奨している。技術的には、Microsoft Defender for Office 365やMicrosoft Defender XDRでの検出・自動遮断、SmartScreenやネットワーク保護、改ざん防止の有効化、WinRMやRMMツールの利用監視、LocalAppData配下でのNode.js実行や非標準拡張子ローダーの起動、Runキーやスタートアップへの不審な登録の監視が有効だとしている。

同社はまた、遠隔支援プロセスに続くPowerShellやcmd.exeの起動、MSIのサイレントインストール、署名付きNode.jsによる標準入力からのJavaScript実行といった振る舞いをハンティングクエリで検出できると説明している。組織は、Teamsの外部アクセス設定の見直しと、エンドポイントでの振る舞い検知の強化を併せて進めることが望ましい。

出典

• Impersonating IT support: how threat actors turn a remote session into enterprise-wide access | Microsoft Security Blog