Anoymask

STAC4749: Teams ITサポート詐欺による17時間未満でのChaosランサムウェア

1. 基本情報

2. エグゼクティブサマリー

攻撃者は外部のTeamsアカウントを使ってITサポートを装い、ユーザーを騙してリモートコントロールを許可させます。次にPowerShell、カスタムローダー、複数のRMMツール、SOCKSトンネルを展開します。これにより、横移動から最短17時間未満での同時暗号化に至ります。

3. 攻撃フロー

  1. ITらしい.topドメインを持つ外部Teamsアカウントがチャットと通話を開始します。
  2. 攻撃者はITサポートを装い、Quick AssistまたはRemSuppを使ってリモートセッションを確立します。
  3. 攻撃者はPowerShellを実行して外部サーバーからローダーをダウンロードし、AppData\Roamingなどのフォルダーで実行します。
  4. ローダーはデバイス情報を収集し、Runキーを介して永続化を設定し、C2サーバーに接続します。
  5. PyArmorで難読化されたPyInstallerバックドアがシェルコマンドを実行し、追加のPythonモジュールをロードして収集したデータをステージングします。
  6. 攻撃者はDWAgentとAnyDeskをバックアップアクセスとしてインストールし、RDPを有効化して横移動を試みます。
  7. sc5.exeリバースSOCKSプロキシが内部ネットワークトラフィックを中継します。
  8. 攻撃者は少なくとも1件の事例でデータを窃取し、その後Chaosを使って複数のデバイスをほぼ同時に暗号化します。

4. 攻撃者の所在地と実行サイト

初期接触は外部のMicrosoft 365テナント経由で発生します。運用は被害者デバイス上の正当なリモートサポートツールを通じて行われます。その後の活動はWindowsデバイスと内部ネットワーク上で発生します。C2インフラストラクチャは攻撃者のWebサーバー、Workers.dev、専用ドメイン上で動作します。

5. 被害者と管理者の可視性

  • ユーザーにとっては、短いITサポート通話と正当なリモートサポート画面のように見えます。
  • 管理者にとっては、Quick AssistまたはRemSupp、PowerShell、ランダムな名前のEXE、Runキー、RDP設定変更、複数のRMMツールのように見えます。
  • 侵入と暗号化は非常に迅速に発生します。業務時間中の小さなサポート問題が、同じ日に企業全体のインシデントに拡大します。

6. 成功条件と失敗条件

成功条件

  • 外部Teams連絡が許可され、ユーザーがリモートコントロールを承認する。
  • PowerShellと未承認のRMMツールが実行可能。
  • アプリケーション制御、出力制御、RDP制限、ネットワーク分離が不十分。

失敗条件

  • 外部テナントとのTeams通話とチャットを制限する。
  • ユーザーが内部ITの身元確認手順に基づいて通話を拒否して報告する。
  • Quick Assist、RemSupp、DWAgent、AnyDesk、不明なローダーを制御する。
  • 初期デバイスを隔離し、17時間以内に封じ込めを完了する。

7. 成功時の結果

攻撃者は永続的なリモートコントロール、コマンド実行、内部プロキシ、RDP横移動を取得します。データ窃取後、攻撃者はほぼ同時に多数のデバイスを暗号化します。readme.chaos.txtを作成し、業務中断と二重恐喝につながります。

8. 観測可能なログ

  • Email/Teams: 外部.topテナント、ITらしい表示名、90秒から20分の通話、リモートサポート要求。
  • Proxy/SWG/DNS: .topドメイン、Workers.dev、攻撃者Webサーバー、legio[.]name、RMMトラフィック。
  • Endpoint/EDR: Quick Assist/RemSupp、PowerShellダウンロード、AppData\Roamingでの実行、Runキー、PyInstaller/PyArmor、sc5.exe、DWAgent、AnyDesk、Chaos。
  • Identity/IdP: 外部Teamsフェデレーション、外部ユーザーとの異常な会話、侵害されたアカウントによる後続ログイン。
  • SaaS/Cloud: Teams監査、外部ドメイン、通話とチャット記録。
  • Network: リバースSOCKS、RDP有効化/ポート3389、複数デバイスへの同時接続、暗号化前の横移動。

9. 攻撃成功評価

  • Contact Only: 外部Teamsメッセージと通話。
  • User Action: Quick Assist/RemSuppのリモートセッション承認。
  • Initial Execution: PowerShellとローダーの実行。
  • Malware or Auth Success: バックドアC2、Runキー、RMMインストール。
  • Data Theft/Session Compromise: ステージング、大規模なアウトバウンドトラフィック。
  • Subsequent Compromise Confirmation: RDP横移動、複数のRMM、SOCKS、Chaos実行、同時暗号化。

10. 調査プレイブック

  • Trigger: 外部ITらしいTeams通話、Quick Assist後のPowerShell、未承認RMM。
  • Initial Check: 発信者、ドメイン、時刻、ユーザーの承認、リモートセッションIDを特定。
  • Endpoint: プロセスツリー、ダウンロード、AppData、Runキー、サービス、RDP設定、Pythonファイル、暗号化痕跡を保存。
  • Auth/Cloud: Teams監査、同じ外部エンティティに関連するすべての連絡先、被害者IDのサインインを確認。
  • Subsequent Activity: RMMインストールサイト、East-Westトラフィック、SOCKS、ステージング、バックアップ破壊を追跡。
  • Containment: 初期デバイスと連絡先デバイスを隔離、外部ドメインをブロック、RMMを停止、認証情報を変更、RDPを閉鎖、バックアップを保護。
  • Assessment Stages: 連絡済み / リモートセッション承認済み / ペイロード実行済み / 永続的アクセス / 横移動 / 流出 / 暗号化。

11. 防御と検知のアイデア

  • Single Event: 外部.top Teams通話、Quick Assist/RemSupp起動、Runキーからのランダム名EXE、sc5.exe。
  • Timeline Correlation: Teams通話 -> リモートサポート -> PowerShell -> AppData実行 -> Runキー/RMM -> RDP/SOCKS -> 同時暗号化。
  • Hunting: 同じ外部ドメインとの連絡先、複数のRMMツールの使用、Workers.dev C2、Python base_library.zipを検索。
  • Log Gaps: 詳細なTeams監査とリモートサポートログがない場合、初期侵入の特定が困難。
  • Priority Countermeasures: 外部Teamsの制御、リモートサポートIDの検証、アプリケーション制御、RMM許可リストの維持、PowerShellとEDRの監視、ネットワーク分離。

12. 事実 / 推論 / 仮説

事実

  • Sophosは2026年2月から6月にかけてSTAC4749が数十の組織を標的にしていることを観測。
  • 少なくとも3件の事例でChaosが展開され、1件は初期接触から17時間未満で完了。
  • Quick Assist、RemSupp、DWAgent、AnyDesk、PyInstallerバックドア、リバースSOCKSが使用された。

推論

  • 攻撃者はITサポートスクリプトを任意のローカル言語に適応可能であるため、これは地域固有の手法ではない。
  • 正当なRMMツールだけでは多くの誤検知が発生するため、Teams連絡先とプロセスタイムラインの相関が重要。

仮説

  • 外部Teams通話から30分以内のリモートサポートとPowerShell実行の組み合わせは、早期ブロックに効果的。

13. MITRE ATT&CK マッピング

  • High Confidence: T1566 Phishing, T1219 Remote Access Software, T1059.001 PowerShell, T1105 Ingress Tool Transfer, T1547.001 Registry Run Keys, T1021.001 RDP, T1090 Proxy, T1486 Data Encrypted for Impact.
  • Medium Confidence: T1041 Exfiltration Over C2 Channel, T1074 Data Staged, T1562 Impair Defenses.

14. 不明点と追加調査

  • 初期リモートセッション中にユーザーが実際に承認したアクション
  • 認証情報窃取の方法と横移動に使用されたアカウント
  • Chaosの配布方法、暗号化対象、窃取されたデータの範囲
  • 同じインフラストラクチャのグローバル使用

15. SOCと組織への影響

製造、エネルギー、建設、法律サービスが頻繁な標的です。外部TeamsフェデレーションとQuick Assistを標準的な運用として使用する組織は、攻撃者が正当なツールを悪用することを想定して、制御と監査を見直す必要があります。

16. 対象者別サマリー

  • SOCチーム向け: Teams連絡からRMM、PowerShell、Runキー、RDP、SOCKSまでの攻撃チェーンを17時間以内に追跡。
  • 管理者向け: 外部Teamsと未承認のRMMツールを制限。Quick Assistの使用をチケットとID検証に紐づける。
  • エンドユーザー向け: Teams連絡がIT部門を名乗っていても、リモートコントロールを許可する前に既知の内部チャネルを通じて確認。