Microsoft Teams IT 支援詐騙：mail bombing 後假冒內部 IT，部署勒索軟體

發生了什麼

想像你正在工作，突然收到數百封電子郵件：訂閱確認、newsletter 註冊、各種網站的通知。你的信箱在幾分鐘內被塞滿。你感到困惑，不知道發生什麼事。

就在這時，Microsoft Teams 彈出一則訊息，來自「IT Support (Internal)」：

「我們注意到你的帳號有異常活動，可能有人試圖大量註冊服務。我需要協助你排查問題，請授權我用 Quick Assist 遠端連線到你的電腦。」

訊息看起來很專業，display name 寫著「Internal」，而且時間點完美配合你的困惑。你點下「允許」，開啟 Quick Assist，輸入對方提供的代碼。

幾小時後，你的公司檔案被加密，螢幕上出現勒索訊息。

2026 年，Arctic Wolf Labs 在數個月內調查數百起類似案例，揭露一起針對 Microsoft Teams 的 IT 支援詐騙模式。攻擊者透過新建的 M365 tenant 發送「IT Support」訊息，配合 mail bombing 製造緊迫感，誘騙受害者授權遠端存取工具，最終部署 GoGRPC 後門和 Chaos 勒索軟體。

來源：本文整理自 The Hacker News 於 2026 年 10 月 26 日發布的報導，原始研究為 Arctic Wolf Labs 的安全研究報告。原文連結

攻擊模式：mail bombing + Teams 訊息 + 遠端存取

Arctic Wolf Labs 在報告中指出，這是一個「反覆出現的社交工程模式」（recurring social engineering pattern），數百起案例顯示相同的攻擊流程。

第一步：mail bombing 製造混亂

攻擊開始於 mail bombing：受害者的信箱在短時間內被數百封訂閱確認信或 newsletter 註冊信淹沒。

這個手法的目的是製造假象與緊迫感：讓受害者以為自己的帳號被盜用，或有人惡意註冊大量服務。當受害者感到困惑和焦慮時，他們更容易相信「IT 支援」的訊息。

第二步：Teams 訊息假冒 IT 支援

Mail bombing 發生後不久，受害者會在 Microsoft Teams 收到一則來自「IT Support」的訊息。這個訊息來自攻擊者新建立的 M365 tenant，但 display name 被設計成看起來像內部 IT。

Arctic Wolf Labs 統計出數十種常見的 display name，包括：

• IT Support (Internal)
• Enterprise IT & Security (Internal)
• IT Service Desk – Liam / Matt / Scott
• HelpDesk Manager
• HelpDesk Supervisor
• IT Tech Support Internal
• Business IT Solutions & Support (Internal)
• Maintenance Service
• IT-Representative

近期趨勢顯示，攻擊者會在 display name 中加入目標組織的網域或公司名稱，進一步增加可信度。

第三步：誘騙安裝 RMM 工具

攻擊者在 Teams 訊息中提供「協助」，要求受害者安裝或開啟遠端存取工具。這些都是合法的 RMM（remote monitoring and management）工具，例如：

• Quick Assist（Windows 內建）
• AnyDesk
• ScreenConnect（ConnectWise）
• TeamViewer
• Atera
• Zoho Assist
• NetSupport
• LogMeIn

因為這些工具都是合法軟體，不會被防毒軟體攔截。受害者授權遠端連線後，攻擊者就取得「hands-on-keyboard」（直接操作鍵盤）的存取權限。

這個過程也涉及 vishing（語音釣魚）元素：攻擊者可能會透過語音或文字聊天引導受害者完成授權步驟。

攻擊者的 tenant 命名模式

Arctic Wolf Labs 發現，約 30–40% 的案例使用 *.onmicrosoft.com 免費網域。這是 Microsoft 在建立 M365 tenant 時自動產生的永久備用網域。

攻擊者選擇的 tenant 名稱都帶有 help desk 或 support 主題，讓網域看起來像 IT 基礎設施：

• helpdeskteam365.onmicrosoft.com
• itendpoint365.onmicrosoft.com
• itcoreportal.onmicrosoft.com
• itadmin922.onmicrosoft.com
• corporateitservicellc.onmicrosoft.com

付費 TLD：.top 佔 50%

除了免費的 onmicrosoft.com，攻擊者也會購買付費網域來建立 tenant。Arctic Wolf Labs 發現：

• 約 50% 使用 .top TLD
• 約 40% 使用標準 .com 網域
• 約 5% 使用多層級網域（如 .com.pl、.com.vn、.com.br）

遠端存取後：偵察、後門、勒索軟體

攻擊者取得遠端存取後，會按以下流程進行攻擊：

1. 偵察：收集系統資訊、網路架構、敏感資料位置
2. 部署額外 payload：例如 GoGRPC 後門
3. 橫向移動：移動到 domain controller
4. 部署備援 RMM 工具：例如 Level，確保即使第一個 RMM 被關閉仍能存取
5. 外洩敏感資料
6. 部署勒索軟體：例如 Chaos 勒索軟體

避開 Safe Links 掃描

Arctic Wolf Labs 指出，攻擊者會避免在 Teams 中直接貼上 URL，因為這會觸發 Microsoft 的 Safe Links / ZAP 掃描。

相反，攻擊者會在遠端 session 中自行導航到 payload，或指示受害者執行 PowerShell 指令下載檔案。這代表 endpoint 和身分識別遙測資料是必要的監控面向，不能只依賴訊息掃描。

在某些案例中，攻擊者會使用 Microsoft Notes 來傳遞指令或 URL。

PowerShell 下載與執行

在其中一個案例中，攻擊者指示受害者執行 PowerShell 指令，從 Microsoft Azure Blob Storage 下載一個 MSI 安裝檔。

這個 MSI 安裝檔會執行一個 PowerShell 腳本，提取並執行嵌入其中的 Python 植入程式（implant）。這個後門會發送 LDAP 查詢到 Active Directory，收集所有電腦和使用者物件，然後將資訊傳送到外部伺服器。

與 STAC4749 威脅行為者的關聯

Arctic Wolf Labs 指出，這個攻擊活動與 STAC4749 威脅行為者相關。根據 Sophos 的報告，STAC4749 過去曾建立 IT 主題的雲端網域（使用 .top TLD）並使用可信的員工使用者名稱，最終部署 Chaos 勒索軟體。

為什麼這個攻擊有效

Arctic Wolf Labs 總結：「外部 Microsoft Teams 聊天已成為有效的初始存取途徑，因為它利用的是信任，而非軟體漏洞。」

攻擊者結合了：

1. Mail bombing：製造混亂與緊迫感
2. 可信的 IT 支援假冒：使用專業的 display name
3. 新建立的 tenant 與網域：看起來像真正的 IT 基礎設施
4. 快速的社交工程：從「看起來正常的聊天」迅速推進到遠端存取、payload 執行，在某些案例中擴展到更廣泛的入侵

如何偵測與防禦

限制 Teams 外部存取

最直接的防禦是限制 Microsoft Teams 的外部存取：

1. 完全停用外部存取：如果組織不需要與外部聯絡人透過 Teams 聊天
2. 只允許特定網域：只允許已知合作夥伴的網域
3. 停用匿名加入會議：避免外部人員在沒有邀請的情況下加入會議

教育使用者識別外部訊息

Microsoft Teams 會在外部訊息上顯示外部使用者警告標示。但攻擊者使用 IT 主題的 display name 來繞過使用者的警覺性。

組織需要教育員工：

• 即使 display name 寫著「IT Support (Internal)」或「Enterprise IT & Security」，只要有外部使用者警告標示，就不是真正的內部 IT
• 任何要求安裝遠端工具的請求，都必須透過內部流程驗證（例如打電話給 IT 部門確認）
• IT 部門不會透過 Teams 外部聊天提供支援

限制 RMM 工具

限制 endpoint 上的 RMM 工具安裝與執行：

1. 只允許 IT 部門批准的 RMM 工具
2. 使用 application control 或 allowlist 阻止未經授權的 RMM 工具執行
3. 監控 RMM 工具的安裝與執行：在 endpoint 和 SIEM 中設定告警

啟用 Safe Links 與 ZAP

確保 Microsoft Teams 的 Safe Links 和 ZAP（Zero-hour Auto Purge）掃描已啟用，即使攻擊者會試圖繞過。

監控 endpoint 與身分識別遙測

因為攻擊者會避免在 Teams 中直接貼上 URL，訊息掃描無法完全防禦。必須監控：

• Endpoint 遙測：PowerShell 執行紀錄、網路連線紀錄、檔案下載紀錄
• 身分識別遙測：異常登入、權限變更、LDAP 查詢

你可以學到什麼

站在攻擊者的角度：Microsoft Teams 的外部存取功能提供了一個完美的社交工程管道。只要建立一個看起來專業的 M365 tenant、選擇一個 IT 主題的 display name、配合 mail bombing 製造緊迫感，就能讓受害者主動授權遠端存取。整個過程不需要入侵任何系統、不需要漏洞利用、不需要惡意軟體，只需要受害者點下「允許」。一旦取得遠端存取，攻擊者就能自由地部署後門、橫向移動、外洩資料、部署勒索軟體。

如果你管理 Microsoft Teams

1. 立即檢視外部存取設定：若無必要，完全停用外部聊天；若需要，只允許特定合作夥伴網域。
2. 教育所有員工：任何帶有外部使用者警告標示的「IT Support」訊息都不是真正的內部 IT，必須透過內部流程驗證。
3. 限制 RMM 工具：只允許 IT 部門批准的工具，使用 application control 阻止其他工具執行。
4. 啟用 Safe Links 與 ZAP：即使攻擊者會試圖繞過，這仍是基礎防線。
5. 監控 endpoint 與身分識別遙測：設定告警偵測 PowerShell 下載、RMM 工具安裝、LDAP 查詢。
6. 建立回報流程：讓員工能快速回報可疑的 Teams 訊息。

這個攻擊證明：合法的功能、合法的工具、合法的服務，都可能被用來進行攻擊。防禦的關鍵是識別異常行為與限制信任範圍。