Các vụ lừa đảo trên Microsoft Teams giả mạo bộ phận IT để phát tán ransomware

Các nhà nghiên cứu an ninh mạng đã xác định một làn sóng tấn công kỹ thuật xã hội dai dẳng nhắm vào các tổ chức thông qua Microsoft Teams. Các nhóm đe dọa tạo ra những hồ sơ giả mạo bộ phận hỗ trợ IT để lừa nhân viên cấp quyền truy cập từ xa, cuối cùng dẫn đến việc cài đặt phần mềm độc hại và phát tán ransomware. Mô hình này, được nêu bật trong báo cáo của Arctic Wolf Labs chia sẻ với The Hacker News vào ngày 26 tháng 10 năm 2026, khai thác sự tin tưởng vào các kênh liên lạc nội bộ thay vì các lỗ hổng phần mềm kỹ thuật.

Chuyện gì đã xảy ra

Vector tấn công bắt đầu bằng việc tạo mới hoặc mua lại các tenant Microsoft 365. Tin tặc sử dụng các tenant này để tạo tài khoản Teams với tên hiển thị mô phỏng nhân viên IT nội bộ, chẳng hạn như "Help Desk", "IT Support" hoặc các tên cụ thể như "IT Service Desk – Liam". Những tài khoản này thường sử dụng domain mặc định *.onmicrosoft[.]com, với tên tenant được chọn sao cho nghe có vẻ hợp pháp, ví dụ như helpdeskteam365 hoặc itcoreportal. Trong những tháng gần đây, đã có sự chuyển dịch sang việc sử dụng các top-level domain (TLD) trả phí, với khoảng 50% danh tính giả mạo sử dụng TLD .top và 40% sử dụng .com.

Trước khi khởi tạo cuộc trò chuyện trên Teams, tin tặc thường làm ngập hộp thư email của nạn nhân bằng hàng trăm đăng ký bản tin hoặc email xác nhận. Chiến thuật "mail bombing" này tạo ra cảm giác khẩn cấp và nhầm lẫn. Ngay sau đó, nạn nhân nhận được một tin nhắn Teams từ tài khoản hỗ trợ IT giả mạo đề nghị giúp giải quyết vấn đề email. Thời điểm này được thiết kế để hạ thấp cảnh giác của nạn nhân và khiến lời đề nghị hỗ trợ không mời mà đến trông có vẻ hữu ích thay vì đáng ngờ.

Khi cuộc trò chuyện bắt đầu, kẻ tấn công sử dụng các kỹ thuật kỹ thuật xã hội, bao gồm gọi thoại (vishing), để thuyết phục người dùng cài đặt các công cụ giám sát và quản lý từ xa (RMM) chính thống như Quick Assist, AnyDesk hoặc TeamViewer. Sau khi giành được quyền điều khiển bàn phím, kẻ tấn công tiến hành thu thập thông tin, di chuyển ngang sang các domain controller và triển khai thêm các payload. Trong một số trường hợp, chúng hướng dẫn người dùng chạy các lệnh PowerShell để tải xuống trình cài đặt độc hại từ Azure Blob Storage, dẫn đến việc thực thi các backdoor như GoGRPC và cuối cùng là ransomware Chaos.

Chi tiết chính

• Tin tặc sử dụng các tenant Microsoft 365 mới tạo với tên chủ đề IT để xây dựng uy tín trong các cuộc trò chuyện Teams bên ngoài.
• Gần 30–40% các trường hợp được điều tra liên quan đến việc sử dụng các domain dự phòng *.onmicrosoft[.]com để che giấu nguồn gốc của tin nhắn.
• Mail bombing được sử dụng như một chiến thuật mở màn để tạo sự khẩn cấp trước khi tin nhắn hỗ trợ IT giả mạo xuất hiện trên Teams.
• Tên hiển thị giả mạo thường bao gồm domain của tổ chức mục tiêu hoặc các chức danh IT phổ biến như "HelpDesk Supervisor" hoặc "Enterprise IT & Security (Internal)."
• Tin tặc tránh gửi liên kết trực tiếp trong Teams để vượt qua quét bảo mật, thay vào đó hướng dẫn người dùng tải xuống payload trong các phiên làm việc từ xa.
• Giai đoạn cuối cùng của cuộc tấn công thường liên quan đến việc triển khai ransomware Chaos sau khi đánh cắp dữ liệu và di chuyển ngang.

Bối cảnh

Kỹ thuật xã hội dựa vào việc thao túng tâm lý con người thay vì khai thác các lỗi kỹ thuật trong phần mềm. Trong kịch bản này, kẻ tấn công lợi dụng sự tin tưởng vốn có mà nhân viên dành cho các bộ phận IT nội bộ. Bằng cách mô phỏng ngôn ngữ, giọng điệu và mức độ khẩn cấp của các yêu cầu hỗ trợ thực tế, chúng vượt qua các chương trình đào tạo nhận thức về bảo mật tiêu chuẩn vốn tập trung vào email đáng ngờ hoặc liên kết lạ. Việc sử dụng các công cụ RMM chính thống càng làm phức tạp hóa việc phát hiện, vì các ứng dụng này thường được phê duyệt để sử dụng trong tổ chức cho các nhiệm vụ bảo trì thực tế.

Microsoft Teams cho phép chat bên ngoài theo mặc định trong nhiều cấu hình, cho phép người dùng từ các tổ chức khác nhau giao tiếp. Mặc dù điều này thúc đẩy cộng tác, nó cũng mở cửa cho các nhóm đe dọa có thể dễ dàng tạo tài khoản Microsoft 365 miễn phí hoặc chi phí thấp. Sự kết hợp giữa truy cập bên ngoài, giả mạo thuyết phục và việc sử dụng các công cụ đáng tin cậy tạo ra một môi trường rủi ro cao nơi các biện pháp phòng thủ biên truyền thống có thể thất bại trong việc phát hiện sự xâm nhập ban đầu.

Tại sao điều này quan trọng

Đối với các đội ngũ tự quản lý phần mềm và cơ sở hạ tầng, xu hướng này làm nổi bật một khoảng trống quan trọng trong tư thế bảo mật: giám sát danh tính và hành vi. Bộ lọc email truyền thống có thể chặn mail bombing ban đầu, nhưng chúng không thể ngăn chặn tương tác Teams sau đó. Nếu chat bên ngoài được kích hoạt, bất kỳ nhân viên nào cũng có thể trở thành mục tiêu của một kẻ giả mạo thuyết phục. Tác động là nghiêm trọng, vì việc giành được quyền truy cập từ xa cho phép tin tặc di chuyển ngang qua mạng, tiềm ẩn nguy cơ xâm phạm các domain controller và kho lưu trữ dữ liệu nhạy cảm.

Việc sử dụng các công cụ chính thống như phần mềm RMM khiến các cuộc tấn công này khó bị phát hiện bởi các giải pháp bảo vệ endpoint tiêu chuẩn. Vì bản thân các công cụ này không độc hại, hệ thống bảo mật có thể không gắn cờ việc cài đặt hoặc sử dụng chúng. Điều này có nghĩa là dữ liệu telemetry từ các nhà cung cấp danh tính và nhật ký hoạt động endpoint trở nên thiết yếu để phát hiện các hành vi bất thường, chẳng hạn như phiên truy cập từ xa lạ thường hoặc lệnh PowerShell được thực thi bởi nhân viên không chuyên môn kỹ thuật. Các tổ chức phải nhận ra rằng sự tin tưởng giờ đây là một bề mặt tấn công đòi hỏi sự quản lý chủ động.

Bạn có thể làm gì

• Hạn chế quyền truy cập chat bên ngoài trong Microsoft Teams chỉ dành cho các đối tác và nhà cung cấp cần thiết, vô hiệu hóa nó đối với người dùng chung nếu có thể.
• Áp dụng các chính sách nghiêm ngặt cho việc cài đặt và sử dụng các công cụ truy cập từ xa, yêu cầu sự phê duyệt từ bộ phận bảo mật IT trước khi sử dụng.
• Đào tạo nhân viên xác minh danh tính của bất kỳ ai tự xưng là hỗ trợ IT, đặc biệt nếu họ chủ động liên hệ qua chat hoặc điện thoại.
• Giám sát các đợt tăng đột biến bất thường trong lưu lượng email (mail bombing) và đối chiếu chúng với các tin nhắn Teams sau đó từ người dùng bên ngoài không rõ danh tính.
• Kích hoạt xác thực đa yếu tố (MFA) và các chính sách truy cập có điều kiện để hạn chế khả năng các tài khoản bị xâm phạm thực hiện các hành động nhạy cảm.
• Xem xét và kiểm toán nhật ký thực thi PowerShell và việc sử dụng công cụ RMM, tìm kiếm các mẫu hành vi lệch khỏi các hoạt động quản trị bình thường.