攻击者利用Teams外部访问诱导开启快速辅助

• 攻击者利用垃圾邮件轰炸收件箱，随后通过 Microsoft Teams 消息及电话冒充 IT 支持人员
• 诱导受害者开启 Windows「快速辅助」功能，从而获取桌面或屏幕的远程控制权
• 安全研究人员已观察到超过 400 起此类事件，指出 Teams 默认启用的外部访问设置成为社会工程攻击的关键入口

网络安全公司 Arctic Wolf 发出警告，披露了一场大规模的网络攻击活动。攻击者的主要目标似乎是建立持久访问权限，这可能为后续的恶意软件植入或勒索软件感染做准备。

攻击流程：从垃圾邮件到虚假 IT 支持

根据报告，Arctic Wolf 在 400 多起案例中发现了相同的攻击模式。受害者在极短时间内会收到数百甚至数千封垃圾邮件，导致收件箱被淹没。

几分钟后，受害者会在 Microsoft Teams 上收到一条看似来自内部的消息。发送者显示的名称通常为“IT 服务台”，有时还会附带一个具体的名字（如 Liam、Ethan 或 Scott）。这些“IT 人员”声称已经注意到受害者的电子邮件问题，并主动提供解决方案。

为了实施所谓的“修复”，攻击者要求直接访问受害者的键盘操作，通常借助合法的远程监控和管理工具。整个过程中，发送垃圾邮件和 Teams 消息的是同一实体。在某些情况下，攻击者甚至会通过 Teams 发起语音通话而非仅发送文字消息。

这一攻击策略的核心在于利用了 Microsoft Teams 默认启用的外部访问（联邦）功能。除非企业的实际 IT 团队修改了默认设置，否则任何拥有 Microsoft 365 账户的外部用户都可以向组织内的员工发送消息，即使他们属于完全不同的租户（Microsoft 云服务中的专用环境）。Arctic Wolf 指出：“这是攻击者最常滥用的功能。”该活动并未利用 Teams 的任何已知漏洞，而是滥用其合法的默认协作能力。

技术细节：利用「快速辅助」与 RMM 工具

攻击者并未要求受害者安装特殊软件。在大多数案例中，他们仅诱导受害者打开 Windows 系统内置的「快速辅助」（Quick Assist）工具。受害者只需分享一个六位数的密码，攻击者即可完全控制设备。

一旦获得初始访问权，研究人员观察到攻击者通常会安装商业远程监控与管理（RMM）工具，如 AnyDesk 或 ScreenConnect。此举旨在建立独立的控制通道，确保即使撤销「快速辅助」会话，攻击者仍能保持对系统的访问权限。随后，攻击者会对目标 IT 网络进行映射和侦察，尽可能多地收集信息。

防御建议：收紧权限与加强培训

抵御此类攻击的首要措施是限制 Teams 的外部访问权限。Arctic Wolf 表示，大多数组织并没有正当需求允许来自任意租户的外部聊天。管理员应遵循 Microsoft 的指导方针，将外部会议和聊天的权限从默认的“允许所有”调整为仅允许可信组织的白名单列表。

其次，员工安全意识教育至关重要。所有员工都应认识到，仅仅因为消息来自 Teams 平台，并不代表其来源合法或可信。同样的警惕性也应适用于音频通话和电子邮件等其他通信渠道。