Microsoft Teams の偽サポート電話でマルウェア「EtherRAT」を拡散する手口が発覚

Palo Alto Networks の脅威インテリジェンス部門 Unit 42 は、Microsoft Teams の音声通話を悪用してマルウェア「EtherRAT」を拡散する攻撃手法について報告しました。企業のITサポート担当者を装って従業員をだまし、企業ネットワークへの初期アクセス権を獲得するというものです。

手口としては、まず「従業員アンケート」を装ったメールに添付された悪意あるファイルを開かせ、直後に Microsoft Teams の音声通話でシステム管理者を名乗って接触してきます。その後、画面共有を通じて正規のリモート管理ツール（HopToDesk や AnyDesk など）をインストールさせ、最終的に遠隔操作でマルウェアを仕込んで被害を広げていくのが特徴です。

こうした脅威の背景にあるのが、信頼性の高い業務ツールの悪用と手口の巧妙化です。攻撃者はあえて外部アカウントからチャットを開始してシステムの制御権を奪うほか、検知や遮断を避けるため、停止させにくいブロックチェーンの仕組みを悪用してC2サーバー（感染端末を遠隔操作するための指令サーバー）の在り処を隠します。こうした手口の巧妙化が、防御側にとって対処の難しさにつながっています。