400起事件同一剧本:Teams假IT支持如何零漏洞偷走远程控制权

导语：Arctic Wolf 复盘 400 多起事件发现同一套剧本：攻击者用一次性租户冒充”IT 支持”，先邮件轰炸制造恐慌，再借 Teams 外部聊天把人骗进远程会话，最后落地后门与勒索软件。全程零漏洞，武器只有信任。

一、400起事件，同一套剧本

Arctic Wolf Labs 披露，他们观察到 400 多起利用 Microsoft Teams 外部聊天发起的社工事件。真正让人后背发凉的不是攻击者是谁，而是流程的一致性：同一批一次性租户、同一批”IT Support (Internal)”显示名、同一批 RMM 工具、越来越多的相同载荷域名。

整套打法不依赖任何软件漏洞——Teams 外部访问默认开启，攻击者只是把默认功能当成投递管道，绕过的是判断，不是代码。

租户就是马甲

30% 到 40% 的案例里，攻击者用的是 *.onmicrosoft.com。这是微软给新建租户自动分配的永久兜底域名：无需验证、几分钟就能开通，租户名还会被伪装成 IT 基础设施：

典型如 helpdeskteam365.onmicrosoft.com、itcoreportal.onmicrosoft.com。近期还出现迁移：付费域名里约一半用 .top，getitconnect.top、fix-it.top 这名字往那儿一摆，长得就像正规厂商。

二、邮件轰炸 + 假IT支持

这套社工最狠的一招不在技术，在节奏。攻击者先用邮件轰炸（mail bombing）把受害者收件箱灌满几百封订阅确认和验证码邮件——真实的安全告警被埋进噪声里。

几分钟后，Teams 里那条”IT Support (Internal)”就来了：我们检测到您的账户有问题，能一起通个电话解决吗？

邮箱那头的混乱恰好给了动机。用户不会想”这是骗局”，只会想”哦对，我确实刚收到一堆乱七八糟的东西”。Arctic Wolf 记录到的显示名高度模板化：Help Desk、IT Service Desk – Liam、IT Support (Christopher Thomas)、Enterprise IT & Security (Internal)，甚至带法语西语变体。最近的新变化更直接——在显示名里拼上目标公司的域名。

三、拿到键盘之后

前三步是建联（ChatCreated）→ vishing → 远程控制。最常用的是 Quick Assist——Windows 自带、微软签名、无需安装，只要受害者念一遍 6 位验证码。常见工具还有 AnyDesk、ScreenConnect、TeamViewer、Atera、LogMeIn；为防通道被清理，他们还会再装一个 Level 之类的商用 RMM 备份。

几个细节让人牙根痒：

攻击者不贴链接：直接发 URL 会触发 Safe Links 和 ZAP 扫描，他们是在远程会话里自己导航过去——有效的监测面因此是端点与身份遥测，不是消息扫描。

速度极快。 自动化同时打多个目标，窗口期约 5 分钟；受害者一旦上钩，15 分钟内就能走到载荷执行，之后是 30 到 120 秒侦察：whoami、systeminfo、摸网络连通性。

载荷链条很深。 Arctic Wolf 最近抓到一条可能新颖的感染链：攻击者让用户手动执行 PowerShell，从 Azure Blob Storage 下载 MSI，MSI 里裹着 PowerShell 脚本和 ZIP；约 30 秒后脚本落到 AppData 目录，用十六进制数组加 IEX 解码，硬编码 AES key/IV 解密并做哈希校验，通过才用 ScriptBlock 执行。它最终抽出 pythonw 解释器和 implant，用 LDAP 查询把 AD 里所有计算机与用户对象捞走，扔给随机选取的 C2 域名。

再往后是横向：用 WinRM(5985) 打到域控，凭据型 Kerberoasting 或 GoldenPAC；用 Rclone 把文件同步到外部云存储；最后落勒索软件——Chaos、Black Basta、Cactus、3AM 都在名单上。

四、蓝队该在哪儿设卡

Arctic Wolf 的建议很直接，从”全开”改成白名单：

• Teams 管理中心 → 用户 → 外部访问，改成”仅允许特定外部域”，只加合作伙伴域名。
• 封禁试用租户联邦：Set-CsTenantFederationConfiguration -ExternalAccessWithTrialTenants "Blocked"。
• 用 Defender 租户阻止列表的 Teams 域标签推送封禁 IOC，并把 Quick Assist 限制给授权 IT 角色，用应用控制封掉未授权的 AnyDesk、TeamViewer、ScreenConnect 等。

但技术控制有天花板：这套路子的核心是让受害者自己按下”同意”。所以流程控制才是真正的分水岭——

带外验证。 任何远程支持请求必须回拨用户登记在案的号码，或在另一个独立可信应用里走审批。冒充者控制着 Teams 频道，完不成活在 Teams 之外的验证动作。

还有几条同样重要：明确告诉员工真实的 IT 怎么联系你；培训他们认”External”标签和真实发件域；以及——把 ChatCreated 当作主拦截点，这个事件发生在用户还没做任何事之前。

五、紫队视角：三个问题

这事儿吧，得从两边儿看。

红队这边，这套打法零门槛、可复制、可自动化：它借 Teams 默认开启的合法功能当投递通道，再用微软签名的工具做接管，理论上任何人十分钟就能搭出同样的”IT 支持”马甲。

蓝队这边，真正的分界线是三件事：

外部访问策略是便利与攻击面的第一次交锋。 “允许所有”等于把入口开到最大，而大多数组织至今没改过默认值。

邮件轰炸是在给社工打地基。 如果安全告警被几百封订阅邮件埋掉，那么”用户忽略了那条提醒”就不是不小心，而是被设计过的。

谁有权交出键盘。 这条链上所有动作都是合规的——Quick Assist、msiexec、Rclone 都有正当理由。防守落点不该是”禁用这些工具”，而是让”远程访问必须经过带外验证”成为不可绕过的流程。

别把报告里的域名抄进黑名单就完事，Arctic Wolf 明确说这些域名会被快速轮换。真正稳定的是行为——外部租户 + IT 主题显示名 + 紧跟邮件轰炸 + RMM 安装，四个信号同时出现才值得叫醒值班的人。

版权声明：本文由华盟网原创发布，保留所有权利。配图由华盟网授权使用。