---
title: 攻击者利用 Microsoft Teams IT 支持诈骗部署恶意软件和勒索软件
url: https://www.dataloco.com/zh/microsoft-teams-it
published: 2026-10-29T04:26:58+00:00
language: zh
section: 安全
source: https://thehackernews.com/2026/10/attackers-use-microsoft-teams-it.html
organizations: Microsoft, Arctic Wolf Labs, Sophos
publisher: Dataloco
---

# 攻击者利用 Microsoft Teams IT 支持诈骗部署恶意软件和勒索软件

网络安全研究人员指出，在数百起案例中出现了一种重复的社会工程学模式，威胁行为者利用 Microsoft Teams 的外部聊天创建功能进行冒充诈骗或传递恶意软件。

Arctic Wolf Labs 在一份报告中表示，这些事件呈现出一致的攻击者行为模式，包括使用相同的临时租户、相同的 IT 支持内部显示名称、相同的远程访问工具，以及越来越多相同的有效载荷域名。攻击者通常采用 IT 主题的显示名称或亲切的名字，以规避 Teams 中的外部用户警告。这些消息源自通过新创建或获取的 Microsoft 365 租户建立的身份。

在被调查的案例中，近 30% 到 40% 的情况涉及使用 onmicrosoft.com 域名，这是创建 Microsoft 365 租户时自动生成的永久后备域名。攻击者选择帮助台或支持主题的词汇作为租户名称，以伪装成 IT 基础设施并增加可信度。此外，攻击者近期开始转向使用付费顶级域名创建租户，其中约 50% 的虚假身份使用 .top 域名，约 40% 使用标准 .com 域名，略高于 5% 使用多级域名。

这些攻击通常在 Teams 会话前进行邮件轰炸，在短时间内向受害者收件箱发送数百封订阅确认函，以制造紧迫感，随后发送 Teams IT 支持消息提供帮助。此类活动与 STAC4749 的行为一致，该组织有创建 .top 顶级域名下 IT 主题云域名的历史。Sophos 指出，这些攻击已导致 Chaos 勒索软件的部署。

攻击目标是启用了外部访问的组织。攻击者利用语音钓鱼诱导受害者通过 Quick Assist、AnyDesk、ScreenConnect、TeamViewer 等合法远程监控和管理工具授予其操作权限。远程访问被用于进行侦察、传递 GoGRPC 后门、向域控制器进行横向移动，并部署 Level 等冗余工具，最后窃取敏感数据并投放勒索软件二进制文件。

在部分案例中，攻击者利用 Microsoft 笔记功能，并避免在 Teams 中直接粘贴 URL 以绕过安全链接扫描，而是在远程会话期间自行导航至有效载荷。在另一起案例中，攻击者指示用户运行 PowerShell 命令从 Microsoft Azure Blob Storage 下载并启动 MSI 安装程序，该程序随后执行 Python 植入物，通过 LDAP 查询 Active Directory 中的计算机和用户对象，并将信息传输至外部服务器。