防暴筆記BREACH NOTES

Microsoft Teams IT 支援詐騙：
mail bombing 後假冒內部 IT，部署勒索軟體

速讀：5 分鐘掌握重點

為什麼現在很紅：你的信箱突然被數百封訂閱確認信淹沒，正感到困惑時，Microsoft Teams 彈出一則「IT Support（Internal）」的訊息：「我們注意到你的帳號異常，需要協助排查。」你點下「允許遠端連線」，幾小時後，公司檔案被加密，勒索軟體要求支付贖金。

一句話結論
Arctic Wolf Labs 在數個月內調查數百起案例，發現攻擊者透過 Microsoft Teams 的外部聊天功能進行 IT 支援詐騙。攻擊者建立新的 M365 tenant，使用 IT 主題的 display name（如「IT Support (Internal)」、「HelpDesk Manager」），配合 mail bombing 製造緊迫感，誘騙受害者授權遠端存取工具。
他要的是什麼
他先用 mail bombing 淹沒你的信箱，製造「帳號異常」的假象。幾分鐘後，Teams 彈出「IT Support (Internal)」的訊息，提供協助。他的 display name 看起來像內部 IT，但實際上來自他剛建立的 M365 tenant。你授權他用 Quick Assist 或 AnyDesk 遠端連線，他開始偵察、部署後門、橫向移動，最終部署勒索軟體。整個過程不需要入侵任何系統，只需要你點下「允許」。
你今天做一件事
今天檢視你的 Teams 外部存取設定。如果不需要外部聊天，就完全停用。如果需要，只允許特定網域。教育所有員工：即使 display name 寫著「IT Support (Internal)」，只要有外部使用者警告標示，就不是真正的內部 IT。任何要求安裝遠端工具的請求，都必須透過內部流程驗證。 直接去做 →
哪些能信
5 可證明2 推論2 缺口 每個主張都標了等級，缺口是誠實寫出來的。
破口速查
受害端一律去識別化；寫「未公開」代表公開資料查不到。
伺服器服務商
啟用 Microsoft Teams 外部存取的組織，受害者為一般員工
網路服務商
攻擊者透過新建的 M365 tenant（約 30–40% 使用 *.onmicrosoft.com，其他使用 .top、.com 等付費 TLD）發送 Teams 訊息
漏洞出現的地方
Microsoft Teams 的外部聊天功能，攻擊者建立 IT 主題的 display name（如「IT Support (Internal)」）繞過外部使用者警告
馬上自我檢測
檢視 Microsoft Teams 管理中心的外部存取設定 檢視最近建立的 Teams 外部聊天記錄 檢視 endpoint 上是否安裝未經授權的 RMM 工具（Quick Assist、AnyDesk、ScreenConnect、TeamViewer、Atera、Zoho Assist、NetSupport、LogMeIn、Level） 檢視 PowerShell 執行紀錄與網路連線紀錄
漏洞修補方式
限制 Teams 外部存取，只允許特定網域或完全停用 啟用 Teams 的 Safe Links / ZAP 掃描 教育使用者識別外部 Teams 訊息的警告標示 限制 RMM 工具的安裝與執行，只允許 IT 部門批准的工具 監控 endpoint 與身分識別遙測資料
有 15 分鐘再看：其餘 2 點
  1. 攻擊者使用的 tenant 約 30–40% 為 *.onmicrosoft.com 免費網域（如 helpdeskteam365、itendpoint365），其他為 .top、.com 等付費 TLD。近期趨勢顯示攻擊者會在 display name 中加入目標組織的網域或公司名稱以增加可信度。攻擊活動與 STAC4749 威脅行為者相關，該行為者過去曾部署 Chaos 勒索軟體。
  2. 攻擊者透過合法的 RMM 工具（如 Quick Assist、AnyDesk、ScreenConnect、TeamViewer 等）取得遠端存取後，會進行偵察、部署 GoGRPC 後門、橫向移動到 domain controller、部署額外的 RMM 工具作為備援、外洩敏感資料，最終部署勒索軟體。攻擊者會避免在 Teams 中直接貼上 URL（會觸發 Safe Links 掃描），而是在遠端 session 中自行導航到 payload。

Arctic Wolf Labs 揭露一起持續數月的 Microsoft Teams 社交工程攻擊模式，攻擊者透過新建的 M365 tenant 發送「IT Support（Internal）」訊息，配合 mail bombing 製造緊迫感，誘騙受害者授權遠端存取工具，最終部署 GoGRPC 後門和 Chaos 勒索軟體。數百起案例顯示相同的 tenant 命名、display name 和攻擊流程。

Microsoft Teams IT 支援詐騙活動（2026 年）·2026 年數個月內（Arctic Wolf Labs 觀察期間）·全文 9 分鐘
本篇目錄

發生了什麼

想像你正在工作，突然收到數百封電子郵件：訂閱確認、newsletter 註冊、各種網站的通知。你的信箱在幾分鐘內被塞滿。你感到困惑，不知道發生什麼事。

就在這時，Microsoft Teams 彈出一則訊息，來自「IT Support (Internal)」：

「我們注意到你的帳號有異常活動，可能有人試圖大量註冊服務。我需要協助你排查問題，請授權我用 Quick Assist 遠端連線到你的電腦。」

訊息看起來很專業，display name 寫著「Internal」，而且時間點完美配合你的困惑。你點下「允許」，開啟 Quick Assist，輸入對方提供的代碼。

幾小時後，你的公司檔案被加密，螢幕上出現勒索訊息。

2026 年，Arctic Wolf Labs 在數個月內調查數百起類似案例，揭露一起針對 Microsoft Teams 的 IT 支援詐騙模式。攻擊者透過新建的 M365 tenant 發送「IT Support」訊息，配合 mail bombing 製造緊迫感，誘騙受害者授權遠端存取工具，最終部署 GoGRPC 後門和 Chaos 勒索軟體。

來源：本文整理自 The Hacker News 於 2026 年 10 月 26 日發布的報導，原始研究為 Arctic Wolf Labs 的安全研究報告。原文連結

攻擊模式：mail bombing + Teams 訊息 + 遠端存取

Arctic Wolf Labs 在報告中指出，這是一個「反覆出現的社交工程模式」（recurring social engineering pattern），數百起案例顯示相同的攻擊流程。

第一步：mail bombing 製造混亂

攻擊開始於 mail bombing：受害者的信箱在短時間內被數百封訂閱確認信或 newsletter 註冊信淹沒。

這個手法的目的是製造假象與緊迫感：讓受害者以為自己的帳號被盜用，或有人惡意註冊大量服務。當受害者感到困惑和焦慮時，他們更容易相信「IT 支援」的訊息。

第二步：Teams 訊息假冒 IT 支援

Mail bombing 發生後不久，受害者會在 Microsoft Teams 收到一則來自「IT Support」的訊息。這個訊息來自攻擊者新建立的 M365 tenant，但 display name 被設計成看起來像內部 IT。

Arctic Wolf Labs 統計出數十種常見的 display name，包括：

  • IT Support (Internal)
  • Enterprise IT & Security (Internal)
  • IT Service Desk – Liam / Matt / Scott
  • HelpDesk Manager
  • HelpDesk Supervisor
  • IT Tech Support Internal
  • Business IT Solutions & Support (Internal)
  • Maintenance Service
  • IT-Representative

近期趨勢顯示，攻擊者會在 display name 中加入目標組織的網域或公司名稱，進一步增加可信度。

第三步：誘騙安裝 RMM 工具

攻擊者在 Teams 訊息中提供「協助」，要求受害者安裝或開啟遠端存取工具。這些都是合法的 RMM（remote monitoring and management）工具，例如：

  • Quick Assist（Windows 內建）
  • AnyDesk
  • ScreenConnect（ConnectWise）
  • TeamViewer
  • Atera
  • Zoho Assist
  • NetSupport
  • LogMeIn

因為這些工具都是合法軟體，不會被防毒軟體攔截。受害者授權遠端連線後，攻擊者就取得「hands-on-keyboard」（直接操作鍵盤）的存取權限。

這個過程也涉及 vishing（語音釣魚）元素：攻擊者可能會透過語音或文字聊天引導受害者完成授權步驟。

攻擊者的 tenant 命名模式

Arctic Wolf Labs 發現，約 30–40% 的案例使用 *.onmicrosoft.com 免費網域。這是 Microsoft 在建立 M365 tenant 時自動產生的永久備用網域。

攻擊者選擇的 tenant 名稱都帶有 help desk 或 support 主題，讓網域看起來像 IT 基礎設施：

  • helpdeskteam365.onmicrosoft.com
  • itendpoint365.onmicrosoft.com
  • itcoreportal.onmicrosoft.com
  • itadmin922.onmicrosoft.com
  • corporateitservicellc.onmicrosoft.com

付費 TLD：.top 佔 50%

除了免費的 onmicrosoft.com，攻擊者也會購買付費網域來建立 tenant。Arctic Wolf Labs 發現：

  • 約 50% 使用 .top TLD
  • 約 40% 使用標準 .com 網域
  • 約 5% 使用多層級網域（如 .com.pl、.com.vn、.com.br）

遠端存取後：偵察、後門、勒索軟體

攻擊者取得遠端存取後，會按以下流程進行攻擊：

  1. 偵察：收集系統資訊、網路架構、敏感資料位置
  2. 部署額外 payload：例如 GoGRPC 後門
  3. 橫向移動：移動到 domain controller
  4. 部署備援 RMM 工具：例如 Level，確保即使第一個 RMM 被關閉仍能存取
  5. 外洩敏感資料
  6. 部署勒索軟體：例如 Chaos 勒索軟體

Arctic Wolf Labs 指出，攻擊者會避免在 Teams 中直接貼上 URL，因為這會觸發 Microsoft 的 Safe Links / ZAP 掃描。

相反，攻擊者會在遠端 session 中自行導航到 payload，或指示受害者執行 PowerShell 指令下載檔案。這代表 endpoint 和身分識別遙測資料是必要的監控面向，不能只依賴訊息掃描。

在某些案例中，攻擊者會使用 Microsoft Notes 來傳遞指令或 URL。

PowerShell 下載與執行

在其中一個案例中，攻擊者指示受害者執行 PowerShell 指令，從 Microsoft Azure Blob Storage 下載一個 MSI 安裝檔。

這個 MSI 安裝檔會執行一個 PowerShell 腳本，提取並執行嵌入其中的 Python 植入程式（implant）。這個後門會發送 LDAP 查詢到 Active Directory，收集所有電腦和使用者物件，然後將資訊傳送到外部伺服器。

與 STAC4749 威脅行為者的關聯

Arctic Wolf Labs 指出，這個攻擊活動與 STAC4749 威脅行為者相關。根據 Sophos 的報告，STAC4749 過去曾建立 IT 主題的雲端網域（使用 .top TLD）並使用可信的員工使用者名稱，最終部署 Chaos 勒索軟體。

為什麼這個攻擊有效

Arctic Wolf Labs 總結：「外部 Microsoft Teams 聊天已成為有效的初始存取途徑，因為它利用的是信任，而非軟體漏洞。」

攻擊者結合了：

  1. Mail bombing：製造混亂與緊迫感
  2. 可信的 IT 支援假冒：使用專業的 display name
  3. 新建立的 tenant 與網域：看起來像真正的 IT 基礎設施
  4. 快速的社交工程：從「看起來正常的聊天」迅速推進到遠端存取、payload 執行，在某些案例中擴展到更廣泛的入侵

如何偵測與防禦

限制 Teams 外部存取

最直接的防禦是限制 Microsoft Teams 的外部存取：

  1. 完全停用外部存取：如果組織不需要與外部聯絡人透過 Teams 聊天
  2. 只允許特定網域：只允許已知合作夥伴的網域
  3. 停用匿名加入會議：避免外部人員在沒有邀請的情況下加入會議

教育使用者識別外部訊息

Microsoft Teams 會在外部訊息上顯示外部使用者警告標示。但攻擊者使用 IT 主題的 display name 來繞過使用者的警覺性。

組織需要教育員工：

  • 即使 display name 寫著「IT Support (Internal)」或「Enterprise IT & Security」，只要有外部使用者警告標示，就不是真正的內部 IT
  • 任何要求安裝遠端工具的請求，都必須透過內部流程驗證（例如打電話給 IT 部門確認）
  • IT 部門不會透過 Teams 外部聊天提供支援

限制 RMM 工具

限制 endpoint 上的 RMM 工具安裝與執行：

  1. 只允許 IT 部門批准的 RMM 工具
  2. 使用 application control 或 allowlist 阻止未經授權的 RMM 工具執行
  3. 監控 RMM 工具的安裝與執行：在 endpoint 和 SIEM 中設定告警

確保 Microsoft Teams 的 Safe Links 和 ZAP（Zero-hour Auto Purge）掃描已啟用，即使攻擊者會試圖繞過。

監控 endpoint 與身分識別遙測

因為攻擊者會避免在 Teams 中直接貼上 URL，訊息掃描無法完全防禦。必須監控：

  • Endpoint 遙測：PowerShell 執行紀錄、網路連線紀錄、檔案下載紀錄
  • 身分識別遙測：異常登入、權限變更、LDAP 查詢

你可以學到什麼

站在攻擊者的角度：Microsoft Teams 的外部存取功能提供了一個完美的社交工程管道。只要建立一個看起來專業的 M365 tenant、選擇一個 IT 主題的 display name、配合 mail bombing 製造緊迫感，就能讓受害者主動授權遠端存取。整個過程不需要入侵任何系統、不需要漏洞利用、不需要惡意軟體，只需要受害者點下「允許」。一旦取得遠端存取，攻擊者就能自由地部署後門、橫向移動、外洩資料、部署勒索軟體。

lessons本案的 7 個教訓
  1. 01
    Teams 外部存取是社交工程的完美管道：攻擊者可以直接聯絡目標員工，不需要通過 email 過濾器或其他防禦。
  2. 02
    Display name 可以繞過警覺性：即使有外部使用者警告標示,「IT Support (Internal)」這樣的名稱仍能讓受害者放下戒心。
  3. 03
    Mail bombing 製造完美的時間點：當受害者的信箱被塞滿時，「IT 支援」的訊息到達的時間點完美配合他們的困惑與焦慮。
  4. 04
    合法 RMM 工具不會被攔截：Quick Assist、AnyDesk、TeamViewer 都是合法軟體，不會觸發防毒警報。
  5. 05
    攻擊者會避開 URL 掃描：不在 Teams 中貼 URL，而是在遠端 session 中自行導航或使用 PowerShell 指令下載。
  6. 06
    備援機制確保持久存取：部署多個 RMM 工具、部署後門，確保即使一個工具被關閉仍能存取。
  7. 07
    利用信任而非漏洞：整個攻擊不需要任何軟體漏洞，只需要利用受害者對「IT 支援」的信任。
keywords重點學習：最需要學習的 10 個關鍵字7 個
  1. 01
    Mail bombing
    在短時間內發送大量訂閱確認信淹沒受害者信箱，製造「帳號異常」的假象與緊迫感。
  2. 02
    Microsoft Teams 外部存取
    允許外部使用者發送 Teams 訊息的功能，被攻擊者用來假冒 IT 支援。
  3. 03
    RMM（Remote Monitoring and Management）
    遠端監控與管理工具，例如 Quick Assist、AnyDesk、TeamViewer，被攻擊者用來取得合法的遠端存取權限。
  4. 04
    onmicrosoft.com
    Microsoft 建立 M365 tenant 時自動產生的永久備用網域，攻擊者用來建立假冒 IT 的 tenant。
  5. 05
    STAC4749
    威脅行為者代號，與本攻擊活動相關，過去曾部署 Chaos 勒索軟體。
  6. 06
    GoGRPC
    攻擊者部署的後門程式，用於持久存取與進一步攻擊。
  7. 07
    Chaos 勒索軟體
    STAC4749 過去部署的勒索軟體，可能也在本攻擊活動中使用。
try today今天就可以來試試約 15 分鐘

全部唯讀，不改任何設定；做完你會知道自己有沒有同樣的破口。

  1. 檢視 Teams 外部存取設定
    看到什麼代表什麼：在 Microsoft Teams 管理中心 → Users → External access，確認是否允許外部網域聯絡。若無必要，完全停用或只允許特定合作夥伴網域。
  2. 搜尋最近的外部 Teams 聊天記錄
    看到什麼代表什麼：檢視員工的 Teams 聊天記錄，尋找來自陌生網域或帶有「IT Support」、「HelpDesk」等 display name 的外部訊息。
  3. 檢視 endpoint 上的 RMM 工具
    Get-WmiObject -Class Win32_Product | Where-Object {$_.Name -match 'AnyDesk|TeamViewer|ScreenConnect|Atera|LogMeIn|NetSupport'}
    看到什麼代表什麼：尋找未經 IT 部門批准安裝的 RMM 工具。若發現，調查安裝時間與使用者。
  4. 檢視 PowerShell 執行紀錄
    Get-WinEvent -LogName 'Microsoft-Windows-PowerShell/Operational' | Where-Object {$_.Id -eq 4104} | Select-Object -First 20
    看到什麼代表什麼：尋找可疑的 PowerShell 指令，特別是從 Azure Blob Storage 或陌生網域下載檔案的指令。
  5. 檢視 LDAP 查詢紀錄
    看到什麼代表什麼：在 domain controller 的安全紀錄中尋找異常的 LDAP 查詢（事件 ID 1644），特別是查詢所有電腦和使用者物件的查詢。
  6. 設定 Teams 外部訊息告警
    看到什麼代表什麼：在 SIEM 或 Microsoft 365 Defender 中設定規則，當員工收到包含「IT Support」、「HelpDesk」、「Remote」、「Quick Assist」等關鍵字的外部 Teams 訊息時發出告警。

如果你管理 Microsoft Teams

  1. 立即檢視外部存取設定：若無必要，完全停用外部聊天；若需要，只允許特定合作夥伴網域。
  2. 教育所有員工：任何帶有外部使用者警告標示的「IT Support」訊息都不是真正的內部 IT，必須透過內部流程驗證。
  3. 限制 RMM 工具：只允許 IT 部門批准的工具，使用 application control 阻止其他工具執行。
  4. 啟用 Safe Links 與 ZAP：即使攻擊者會試圖繞過，這仍是基礎防線。
  5. 監控 endpoint 與身分識別遙測：設定告警偵測 PowerShell 下載、RMM 工具安裝、LDAP 查詢。
  6. 建立回報流程：讓員工能快速回報可疑的 Teams 訊息。

這個攻擊證明：合法的功能、合法的工具、合法的服務，都可能被用來進行攻擊。防禦的關鍵是識別異常行為與限制信任範圍。

想看全部細節？

環境背景、時間線、攻擊鏈對照 ATT&CK、關鍵證據、根因、處置與檢討都在完整版，約 9 分鐘。

來源

本文為公開報導與官方公告的整理與拆解，非第一手鑑識；證據等級依來源可信度標註。

本文由 AI 團隊協助研究與撰寫，經隱私與事實檢查後發布；證據等級依來源可信度標註。

Microsoft Teams社交工程mail bombing釣魚勒索軟體RMMChaosGoGRPC
看完的心情
ai prompt把這篇的切入點帶回你的環境

複製下面這段，貼給你在用的 AI 工具（Claude Code、Cursor、Copilot、ChatGPT 都可以）。它會用本篇的破口位置、自我檢測與學習重點，對你的專案或環境做一次資安掃描，列出潛在問題與建議的調整或加強方式。

預設是唯讀：只發現問題、提出建議，不會改你任何檔案或設定。

§
對應課程模組

M1 資安意識 · M3 身分與存取管理 · 想在自己的環境做一次同樣的盤點，從 自我盤點 開始。

延伸閱讀
newsletter
下一篇拆解直接寄到信箱

每篇新文章一封：三點摘要、關鍵字定義、今天能做的一件事。或先 加入會員 記錄你完成的任務。

← 上一份「資安界的颱風季」：當數發部長把 AI 模型獵漏洞寫進臉書