伊朗黑客假扮IT人員，借Teams潛入企業偷數據

周三下午，你的Teams突然彈出一條消息——"IT技術支持"發現你的賬戶異常，需要立即遠程協助。你點了同意。三小時后，公司核心數據已經被加密，屏幕上跳出勒索通知。但安全研究人員說，這根本不是普通的勒索軟件攻擊。

Rapid7最新調查揭露了一起精心設計的網絡間諜行動。攻擊者通過Microsoft Teams聯系目標企業員工，偽裝成外部IT技術人員，以解決技術問題為由，誘導受害者安裝AnyDesk遠程桌面軟件。一旦獲得訪問權限，攻擊者立即部署多種惡意軟件和竊密程序，竊取憑證、修改多因素認證設置、建立持久化后門，并將敏感數據外傳。

整個攻擊鏈條的終點是部署Chaos勒索軟件加密器。Chaos是一個2025年首次出現的勒索軟件即服務運營方，以針對大型實體、雙重勒索策略和社會工程手段著稱，多數受害者位于美國。攻擊者甚至將此次受害企業列入Chaos的數據泄露網站，制造典型的勒索攻擊假象。

但Rapid7通過分析攻擊技術、代碼簽名證書和作戰手法，以中等置信度判定幕后真兇是MuddyWater——一個伊朗國家支持的高級持續威脅組織，別名包括Static Kitten、Mango Sandstorm和Seedworm。研究人員指出，勒索軟件只是"煙霧彈"，真實目的是間諜活動。

這種策略揭示了國家支持的黑客行動與網絡犯罪戰術的融合趨勢。攻擊者故意借用犯罪集團的勒索軟件品牌，試圖誤導調查方向，將事件歸類為普通網絡犯罪而非國家行為體所為。對于企業安全團隊而言，這意味著傳統的威脅歸因變得更加困難——同樣的技術手段可能同時服務于金錢動機和地緣政治目標。

Microsoft Teams作為攻擊入口的選擇并非偶然。隨著遠程辦公常態化，員工對即時通訊工具上的"IT支持"請求警惕性降低，而Teams的外部消息功能為攻擊者提供了直接接觸內部人員的通道。Rapid7建議企業限制外部賬戶的通信權限，并對遠程協助請求實施額外的身份驗證流程。