Black Basta 勒索软件的附属软件仍在试图通过冒充服务台工作人员来诱骗企业员工安装远程访问工具，现在也是通过 Microsoft Teams。

通过 MS Teams 进行网络钓鱼

今年早些时候，Rapid7 曾警告过 Black Basta 使用以下社交工程伎俩：他们在目标员工的收件箱中塞满垃圾邮件（通常来自自动系统或服务发送的确认或通知），然后冒充企业的 IT 服务台给他们打电话提供帮助。

不过最近，他们也开始使用 Microsoft Teams 来联系潜在受害者。

“在大量垃圾邮件事件之后，目标用户被添加到与外部用户的 Microsoft Teams 聊天中。”ReliaQuest 研究人员发现：“这些外部用户通过他们创建的 Entra ID 租户冒充支持、管理或服务台人员。”

看到的域包括

• securityadminhelper.onmicrosoft[.]com
• supportserviceadmin.onmicrosoft[.]com
• supportadministrator.onmicrosoft[.]com
• cybersecurityadmin.onmicrosoft[.]com

“在我们观察到的几乎所有情况下，显示名称都包括’Help Desk’字符串，其周围通常有空白字符，这很可能会使名称在聊天中居中。”研究人员指出：”我们还观察到，目标用户通常会被添加到‘一对一’聊天中。”

研究人员指出：“最终目的是让目标员工安装 QuickAssist 或 AnyDesk 等远程监控和管理工具，表面上是为了方便支持和修复，实际上是为了获得目标环境的初始访问权，并安装抓取凭证的恶意软件和网络映射工具。”

目标还被引导至托管有二维码页面的域，但其功能尚不清楚。研究人员补充说：“实际上，这些二维码有可能将用户导向更多的恶意基础设施。”

给企业的建议

通过暗网提供的垃圾邮件服务可以轻松实现向收件箱发送垃圾邮件。如果组织没有禁用或限制来自 Teams 中外部租户/域的通信，那么通过 Microsoft Teams 联系目标员工也很容易。(甚至可以通过 Teams 发送恶意软件）。

由于 “域创建和 Cobalt Strike 配置存在共性”，研究人员将这些攻击归咎于 Black Basta。不幸的是，他们并不是唯一使用这种攻击途径的威胁方。

ReliaQuest 的研究人员建议企业在 Teams 中禁用外部用户的通信，或只允许来自特定可信域的联系。

他们还应该调整电子邮件反垃圾邮件策略，为 Teams 启用日志记录功能（以方便调查），创建标记特定网络钓鱼聊天请求和后剥削活动的规则，并向员工宣传最新威胁。

Rapid7 此前曾建议企业阻止执行未经批准的 RMM 解决方案，并建立和定义员工可用于联系 IT 部门的渠道/方法。