微软威胁情报：攻击者伪装 IT 支持滥用 Teams 远程会话实施企业内网渗透

微软威胁情报：攻击者伪装 IT 支持滥用 Teams 远程会话实施企业内网渗透

微软威胁情报团队（Microsoft Threat Intelligence）近日披露了一起针对企业环境的新型高级持续性威胁（APT）活动。攻击者利用 Microsoft Teams 的外部协作功能伪装成内部 IT 支持人员，通过社会工程学手段诱导用户开启远程桌面会话。一旦获得控制权限，攻击者利用合法工具链下载恶意软件，植入持久化后门，并横向移动至域控制器等高价值资产。微软详细分析了该攻击链的各个环节，并提供了相应的检测与缓解建议。 www.sosit.com.cn

攻击链核心机制：从社交工程到全面控制

此次披露的攻击活动并非依赖传统的钓鱼邮件或软件漏洞，而是利用企业内部的协作流程作为突破口。攻击者从外部租户发起 Microsoft Teams 聊天或通话，冒充内部 IT 或帮助台人员，诱导受害者忽略 Teams 发出的外部联系人安全警告，并主动批准远程协助请求。

www.sosit.com.cn

与传统的“鱼叉式钓鱼”不同，该攻击模式属于“键盘敲击”（Hands-on-keyboard）类型，攻击者需要实时与受害者互动。一旦受害者通过 Quick Assist 等合法工具开启了远程会话，攻击者便获得了受凭据保护的交互式系统访问权限。此时，攻击者利用 PowerShell 从云端存储下载恶意 MSI 安装包，并在受害者机器上静默安装。该安装包随后会下载一个便携式的 Node.js 运行时环境，用于解密并执行一个加密的 JavaScript 恶意载荷。最终，攻击者利用 Windows 远程管理（WinRM）协议，从受感染的终端向域控制器（Domain Controllers）发起横向移动，从而控制整个企业内网。

技王数据恢复

攻击阶段详细技术分析

根据微软提供的技术细节，该攻击活动遵循了以下九个阶段的演进路径：

技王数据恢复

1. 初始访问：伪装 IT 支持进行 Teams 接触

攻击者利用 Teams 的外部协作功能，以“微软安全更新”、“垃圾邮件过滤器更新”或“账户验证”等名义联系用户。为了增加可信度，攻击者有时会结合语音钓鱼（Vishing）手段。关键信号在于，受害者被诱导去打开远程协助应用并输入简短的验证码。微软指出，虽然 Teams 具备外部租户标记和钓鱼检测功能，但攻击者通过实时语音引导用户绕过这些警告，使得传统的基于邮件的防御机制失效。

技王数据恢复

2. 远程会话与恶意 MSI 投递

在建立远程连接后，攻击者立即使用 PowerShell 从受控的 Azure Blob 存储（如 update1n5[.]blob.core.windows.net 等域名）下载恶意 MSI 包。该安装包通常被伪装成“devfix"或"Hotfix"等无害名称，并使用 msiexec /qn 参数进行静默安装，确保用户在安装过程中没有任何视觉提示。

技王数据恢复

3. Node.js 运行时环境与载荷部署

这是攻击链中极具迷惑性的一环。恶意 MSI 安装包会提取一个来自官方 Node.js 分发的便携式运行时环境，并将其部署在用户的本地应用数据目录（LocalAppData）下。由于 Node.js 是广泛使用的合法技术，这种部署方式能有效规避针对未知可执行文件的检测。随后，一个脚本加载器会在运行时解密存储在 MSI 中的加密 JavaScript 恶意载荷（Implant），并立即执行。 www.sosit.com.cn

4. 脚本引导与持久化驻留

加载器通过 PowerShell、cmd.exe 或 WScript 等受信任的 Windows 脚本宿主启动。持久化机制被设计为“每用户”级别，通过注册表中的 HKEY_CURRENT_USER Run 项或在“启动”文件夹中创建快捷方式来确保用户每次登录时，Node.js 加载器都会自动运行。这种机制使得后门能够长期潜伏在受感染用户的账户下。 技王数据恢复

5. 命令与控制（C2）及操作者指令

植入的 JavaScript 载荷会连接到其命令与控制服务器（C2）。微软分析发现，C2 通信采用随机化的 HTTPS 长轮询（Long-polling）机制。攻击者通过 C2 服务器向受感染主机发送 JavaScript 指令，控制加载器执行主机侦察、杀毒软件发现、虚拟环境检测以及屏幕截图等操作。部分载荷甚至包含查询以太坊智能合约以获取最新 C2 地址的逻辑，尽管在回收的样本中该功能处于禁用状态。

6. 域发现与侦察

在确认立足点后，攻击者利用 C2 下发的指令，通过本地 Active Directory 服务接口（ADSI）查询域账户、服务器和用户描述属性。攻击者还会使用 CIM 协议进行可达性检查，以静默方式绘制企业内网的高价值资产地图，寻找域控制器和证书颁发机构（CA）。

7. 后续载荷执行

利用 Node.js 后门，攻击者通过 rundll32.exe 加载其提供的恶意 DLL 文件。这是一种经典的防御规避技术，通过调用 DLL 的导出函数来执行恶意代码，从而绕过对直接执行恶意可执行文件的检测。

8. 横向移动至高价值资产

这是此次攻击最具破坏性的阶段。攻击者利用 Node.js 后门发起 WinRM 连接，目标端口为 TCP 5985。连接对象包括文件服务器、数据库服务器，以及关键的域控制器和证书颁发机构。微软强调，这种从非管理上下文发起的 WinRM 连接，强烈暗示了攻击者正在利用凭据进行横向移动，意图从单点突破转向对整个企业身份基础设施的控制，这通常是大规模数据窃取或勒索软件部署的前兆。

微软提供的检测与缓解建议

鉴于该攻击模式利用了合法的协作工具和协议，防御者需要采取多层面的策略来阻断攻击链：

• 强化用户教育与验证：建立内部帮助台的专用验证短语，培训员工识别外部租户的 Teams 联系人，并严禁向未经请求的联系人开启远程访问。任何声称是 IT 支持的外部 Teams 联系或通话都应被视为可疑，必须通过已知内部渠道进行二次确认。
• 限制外部协作权限：将 Teams 的外部访问权限限制在受信任的域名范围内，减少攻击面。
• 加固 Teams 与邮件防御：启用 Microsoft Defender for Office 365 的“安全链接”和“零小时自动清除”（ZAP）功能，在用户点击恶意链接时立即拦截并删除消息。
• 实施抗钓鱼访问控制：通过 Microsoft Entra 条件访问策略，强制要求多因素认证（MFA）和合规设备，限制凭据被盗后的远程会话价值。
• 部署攻击面减少规则（ASR）：启用 ASR 规则以阻止从 PowerShell、WScript 等脚本解释器执行内容，以及阻止下载内容的执行，从而阻断 MSI 和脚本类的载荷投递。
• 限制管理协议：将 WinRM（TCP 5985）访问限制在授权的管理工作站，并对来自用户上下文或非管理进程的 WinRM 连接发出警报。
• 启用云端防护：开启 Microsoft Defender 防病毒和端点的云端防护功能，利用云端机器学习检测并拦截新型威胁。

此外，微软还列出了具体的检测指标（IOCs），包括用于投递恶意 MSI 的 Azure Blob 存储域名、硬编码的 C2 服务器地址（如 synctimes[.]australiaeast[.]cloudapp[.]azure[.]com）以及以太坊智能合约地址。微软 Security Copilot 和 Defender XDR 提供了相应的预构建提示词库和高级狩猎查询，帮助安全团队自动化地识别受影响的设备和攻击行为。

中国用户关注与数据恢复建议

虽然此次攻击主要利用的是 Microsoft Teams 和 Windows 环境，但其攻击逻辑——即利用合法远程工具进行社会工程学攻击并横向移动——对使用类似远程协助软件（如 TeamViewer, AnyDesk, 向日葵等）的中国企业同样具有极高的参考价值。攻击者往往利用员工对“官方客服”的信任，诱导其开启远程控制，进而植入木马窃取数据或勒索加密。

对于中国境内的企业用户，建议立即采取以下措施：

技术审核：邓严军｜技王数据恢复实验室技术总监