炸邮箱、装网管、控AD域：拆解针对 Teams 的新型勒索投毒链路

原创

Hankzheng
Hankzheng

技术修道场

2026年10月29日 08:00
广东

去阅读

大家好，最近在做安全攻防复盘时，我看到了 Arctic Wolf 披露的一批非常典型的企业实战钓鱼案例。

跟以往搞 0-day 漏洞、打反序列化或者发挂马 Excel 宏不同，这帮黑客（疑似关联组织 STAC4749）完全不玩花架子，而是把 “社工心理学 + 平台默认信任机制 + 自动化投毒脚本” 玩到了极致。最终目的极其暴力：横向渗透拿到内网 AD 域控权限，然后直接投递 Chaos 勒索软件。

今天我就带大家以白帽的角度完整复盘一下这套攻击链路、复现底层技术细节，并聊聊作为运维与安全团队，我们该怎么建立防御纵深。

第一步：声东击西，先用“炸弹”打崩心理防线

如果你某天上班，Outlook 邮箱突然在一分钟内被轰炸了成百上千封垃圾订阅邮件（Newsletter / Confirmation Bombing），你的第一反应是什么？

肯定是：“坏了，我电脑被黑了还是系统抽风了？得赶紧找公司 IT 运维处理！”

攻击者要的就是这个心理窗口。

就在你心急如焚、血压飙升的时候，你电脑右下角的 Microsoft Teams 弹出了一个消息窗口：

“你好，我是 IT Support – Liam。系统监测到你的邮箱正在遭受异常流量攻击，请配合我进行临时紧急排障。”

人在极度焦虑时，对“主动上门救火的救星”毫无抵抗力。这种利用真实告警制造紧迫感，再无缝衔接伪造支援的手法，成功率高得离谱。

第二步：借壳上市，绕过平台安全警示

很多人会好奇：Teams 外部人员发消息不是会有风险提示吗？

攻击者非常熟悉微软的机制，他们用了两个极其狡猾的“障眼法”：

1. 租户域名伪装

微软在创建 M365 租户时，会自动生成一个类似 *.onmicrosoft.com 的永久回退域名。黑客直接批量申请新租户，名字起得极具迷惑性：

• helpdeskteam365.onmicrosoft.com
• itendpoint365.onmicrosoft.com
• corporateitservicellc.onmicrosoft.com

即使不用微软默认二级域，他们也会购买便宜的顶级域名。据监控统计，约 50% 的攻击团伙使用了 .top 后缀，40% 用常规的 .com，甚至还有利用 .com.pl、.com.vn 这种多级域名的。

2. 昵称覆盖

在外部租户的用户 Profile 里，黑客把自己的 Display Name 直接改成：

• IT Service Desk – Liam
• Enterprise IT & Security (Internal)
• [目标公司名] IT Tech Support

当普通员工在客户端弹窗中看到带有“Internal（内部）”或自己公司名字的 IT 员工头像时，大部分人会完全无视 Teams 界面上方那行淡淡的“该用户来自组织外部”的默认告警。

第三步：合法 RMM 接管与绕过 Safe Links 扫描

通常的钓鱼需要给受害者发链接，但 Teams 内置了 Safe Links 和 ZAP（零时自动保护） 扫描机制，直接发恶意链接大概率会被拦截或标记。

黑客索性反其道而行之：我不给你发木马，我直接带你跑合法远程工具。

黑客会在聊天下发语音通话或打字指引，诱导员工打开 Windows 自带的 快速助手，或者下载 AnyDesk、ScreenConnect、TeamViewer、Atera、Zoho Assist 等合法远程运维管理软件。

核心思路：

只要拿到键盘控制权，黑客就会在远程桌面里自己手动在浏览器或控制台输入 Payload 下载路径。这样一来，所有的聊天文本内容检测、外链反病毒扫描在这一步全部变成摆设。

为了防止远控会话意外中断，他们甚至会在机器上暗中部署第二套后门 RMM（例如 Level），给自己留好双保险的冗余通道。

第四步：技术深度拆解——从 PowerShell 引导到 AD 域枚举

如果员工权限受限无法直接装 RMM，黑客还有另一套纯技术诱导方案。这也是报告中重点剖析的一起实战案例，攻击路径非常漂亮且隐蔽：

[诱导执行 PowerShell]
         ↓
[从 Azure Blob 下载恶意 MSI]
         ↓
[释放并运行嵌入的 Python Implant]
         ↓
[发起 LDAP 深度查询 Active Directory]
         ↓
[横向移动 / 部署 GoGRPC / 最终勒索]

1. 阶段一：Azure Blob 白名单投毒与 MSI 下载

黑客通过伪装成 IT 排障指南，让员工以管理员身份在 PowerShell 终端粘贴一行命令。这行命令会直接从微软自家的 Azure Blob Storage 下载一个 .msi 安装包。因为请求的是微软的官方 CDN 节点，绝大多数企业的防火墙与出站流量检测都会将其视作受信流量直接放行。

2. 阶段二：MSI 解压与 Python Implant 内存驻留

用户执行该 MSI 之后，安装包内部的自定义动作会启动一个静默的 PowerShell 进程，负责提取其中嵌入的 Python 后门木马 并执行。这种做法的精妙之处在于：

• 绕过了传统基于可执行文件后缀（.exe）的静态查杀策略；
• 使用打包后的脚本环境，在无编译器的终端环境直接实现复杂的网络与系统级调用。

3. 阶段三：自动化 Active Directory 对象抓取

后门一旦跑起来，就会触发第二轮系统事务。该木马会直接在本地向企业的域控制器发起密集的 LDAP 查询：

• 遍历所有的 user 对象（抓取内网账号与权限组）；
• 遍历所有的 computer 对象（绘制全网资产与服务器拓扑）。

查询拿到内网域拓扑后，数据立即被打包回传到黑客的 C2（命令与控制）服务器。紧接着，攻击者会利用横向移动工具（如释放 Go 编写的 GoGRPC 后门）尝试拿下域管凭证，最终在服务器端下发 Chaos 勒索病毒，完成“闭环”。

运维与安全防线：我们该如何做防御加固？

这起攻击之所以能大规模扩散，根本原因在于它击穿了人性的弱点，同时利用了云协作平台的默认配置缺陷。

针对这套攻击打法，建议运维和安全团队立刻落实以下几道防线：

• 收紧 Teams 外部访问权限（最彻底）：

在 Microsoft Teams 管理中心，检查“外部访问（External access）”策略。如果业务不需要跨组织自由沟通，应直接关闭外部通信；如果需要，务必配置仅允许信任域的白名单，直接封死黑客用抛弃型租户（.onmicrosoft.com）主动敲门的途径。
* 终端封锁非受信 RMM 工具：

在 EDR 或软件组策略中，对 Quick Assist、AnyDesk、Atera、ScreenConnect 等远程控制工具实施签名控制或黑白名单准入。只要不是公司官方部署的运维工具，直接阻断进程拉起。
* 强化端点与身份行为分析：

不要单纯依赖聊天消息扫描。从 PowerShell 调起异常出站下载、MSI 安装包启动外部非标准 Python 进程、以及普通办公终端突然发起大批量 Active Directory LDAP 枚举，这些在 EDR 和 SIEM 系统里都应该被配置为高危聚合告警规则。
* 安全意识培训（避坑指南）：

反复告知所有同事一条铁律：真正的公司 IT 支持，绝不会用“外部组织”的 Teams 账号找你，也绝不会让你在终端里手动敲 PowerShell 脚本。

安全攻防永远是对抗人性和细节的过程。当黑客不再盯着复杂的底层溢出漏洞，而是穿上“IT支持”的马甲敲你的门时，我们的纵深防御体系也必须从网关延伸到端点，再延伸到每一个员工的心智中。