「情シスです」から社内横展開へ、Teams偽サポート攻撃

Microsoft Threat Intelligenceは2026年9月2日、Microsoft Teamsの外部コラボレーションを使ってIT部門やヘルプデスクを装い、利用者に遠隔操作を承認させる侵入キャンペーンを公表した。Microsoftの攻撃分析 で確認された経路は、PowerShellによる悪意あるMSIの導入、Node.js型JavaScriptインプラントの実行、Active Directoryの探索、WinRMを使った社内横展開まで続く。

これはTeamsの脆弱性を突く攻撃ではなく、外部テナントを示す表示や承認画面を利用者に越えさせ、正規の遠隔支援機能を入口にする社会工学型の侵入だ。9月3日付の TechRadarの報道 も、Teams上のなりすましから遠隔アクセス、端末調査、画面取得、ドメイン列挙へ進む流れを伝えている。

最初の停止点は、外部連絡ではなく遠隔操作の承認

攻撃は、別テナントのアカウントによるTeamsのチャットや通話から始まる。攻撃者は社内のIT担当者を装い、更新やアカウント確認などを口実に対応を急がせ、画面共有中の「制御を要求」を許可させるか、Quick Assistなどの遠隔支援ツールを開かせて接続情報を渡させる。

Teamsは最初の接触時に、外部テナントの表示、承諾またはブロックの選択、メッセージのプレビュー、フィッシング警告を提示する。攻撃者はこれらを技術的に無効化するのではなく、「情シスからの必要な作業」だと信じさせて利用者自身に先へ進ませる。表示名が社内らしいことや、使われるツールが正規製品であることは、連絡相手の正当性を保証しない。

端末を外部の操作者へ渡す境界は、利用者が遠隔操作を許可する瞬間にある。予定のないサポート連絡、外部送信者の表示、時間的な圧力、Quick Assistコードの共有依頼、管理者権限の承認要求が続く場合は、操作を止め、社内ポータルや既知の電話番号など別経路で依頼の有無を確認する必要がある。

悪意あるMSIが正規のNode.jsを実行基盤に変える

遠隔操作を得た攻撃者は、そのセッション内でPowerShellを使ってクラウドストレージからMSIパッケージを取得し、msiexecの「/qn」オプションで画面を表示せずに導入する。観測されたインストーラーには「devfix」「Hotfix」など、更新作業を思わせる名称が付けられていた。

MSIは、スクリプト型ローダーと暗号化されたJavaScriptインプラントを利用者のLocalAppData配下へ配置する。Node.jsが端末になければ、公式配布元からポータブル版ランタイムを取得してランダムな名前のディレクトリへ展開し、PowerShell、cmd.exe、WScriptと組み合わせてインプラントを復号・実行する。

確認された構成では、HKCUのRun値またはスタートアップフォルダーのショートカットが「EdgeUpdate」という名前で作られ、サインイン時にNode.jsローダーを起動していた。署名された正規ランタイムが使われるため、node.exeの存在だけでは正常利用と侵入を区別できない。利用者が書き込める場所からの起動、非標準拡張子のローダー、直前のMSI実行、親子プロセスの関係を合わせて見る必要がある。

起動後のインプラントは、ランダム化したHTTPSのロングポーリングで指令を受け取り、端末情報、ディスク、セキュリティ製品、仮想環境を調査するほか、デスクトップ画面を繰り返し取得する。解析された検体にはEthereumスマートコントラクトから接続先を取得する機能も含まれていたが、その機能は無効で、固定された接続先が使われていた。

Active Directory探索の後、WinRMで重要システムへ進む

足場を築いた操作者は、Windowsの標準コマンドやActive Directory Service Interfacesを使ってドメインのアカウント、利用者、サーバーを列挙する。さらに到達可能なシステムを調べ、侵害した端末から接続できる重要資産の位置を把握する。短時間のPowerShellやcmd.exe、通常業務では説明しにくいディレクトリ照会、画面取得が連続することが検知の手掛かりになる。

その後、Node.jsバックドアから受け取った指令により、WinRMのTCP 5985番ポートを通じてドメイン参加端末へ接続する。観測された接続先には、ドメインコントローラーと証明機関も含まれていた。通常の管理端末ではない利用者端末や非管理用途のプロセスから始まるWinRM通信は、横展開を止める重要な観測点となる。

SOC Primeの検知整理 では、PowerShellによるMSI取得、通常と異なる場所からのNode.js実行、システムやアカウントの列挙、WinRM活動を同じ侵入チェーンとして監視する構成が示されている。外部Teams接触のログだけで終わらせず、遠隔支援プロセス、その直後のシェル起動、MSI作成、LocalAppData内のNode.js、ディレクトリ探索、WinRM接続を時系列で結ぶことが管理側の停止点になる。

ランサムウェア被害まで確認されたわけではない

公表資料が実際に確認した範囲は、Teamsでの接触から遠隔操作、MSIとJavaScriptインプラントの導入、端末・ドメインの偵察、画面取得、追加DLLの実行、WinRMによる横展開までだ。データ窃取、恐喝、ランサムウェアは、この種の探索と横展開に続き得る目的として挙げられているが、特定企業で暗号化や情報流出まで完了した件数は示されていない。

攻撃主体、標的企業、対象地域、侵害件数、最終目的も公表されていない。したがって、すべての事例がランサムウェア感染に至ったとする二次報道の表現は、一次資料で確認された範囲を超える。現時点で確定しているのは、人間の操作者がTeams上の信頼と正規の遠隔支援を入口にし、Node.jsインプラントを経て社内横展開まで進んだことだ。

該当する挙動が見つかった場合は、遠隔セッションの切断だけでなく、対象端末の隔離、端末から利用できた認証情報の調査と必要な更新、Teamsの外部接触からWinRM接続までの追跡が必要になる。今後の焦点は、攻撃主体と被害範囲、そして観測された横展開の後に実行された活動について追加情報が示されるかどうかだ。