Microsoft-Teams

Arctic Wolf วิเคราะห์เคสหลายร้อยรายที่ผู้โจมตีใช้ฟีเจอร์แชตภายนอกของ Microsoft Teams ปลอมเป็นฝ่ายไอทีด้วยชื่ออย่าง IT Support (Internal) จาก tenant Microsoft 365 ที่สร้างใหม่ ราว 30-40% ใช้โดเมน onmicrosoft.com ระยะหลังหันไปจดโดเมน .top การหลอกมักตามหลังการถล่มอีเมลด้วยจดหมายสมัครสมาชิกนับร้อย แล้วชวนเหยื่อเปิด Quick Assist หรือ RMM อื่นให้ผู้โจมตีคุมเครื่อง ผู้โจมตีเลี่ยงการวาง URL ในแชตเพื่อหลบ Safe Links จึงต้องอาศัยการตรวจจับฝั่ง endpoint ควรจำกัดการแชตภายนอกและวาง allowlist ของ RMM

Microsoft ประกาศผ่าน Message Center MC1519866 เมื่อ 21 ตุลาคม 2569 ว่าจะเพิ่มการตรวจจับฟิชชิงด้วย AI ใน Microsoft Teams ระบบวิเคราะห์บริบทของบทสนทนาเพื่อจับการหลอกลวงที่ไม่มีลิงก์หรือไฟล์อันตราย เน้นแชตแรกกับผู้ติดต่อภายนอก ซึ่งผู้โจมตีมักปลอมเป็นฝ่ายไอทีขอรหัสผ่านหรือสิทธิ์ควบคุมเครื่อง Targeted Release เริ่มต้นพฤศจิกายน และเปิดใช้ทั่วโลกช่วงต้นถึงกลางธันวาคม แอดมินไม่ต้องตั้งค่าเพิ่ม แต่ช่วงแรกระบบอาจตรวจแบบเงียบโดยยังไม่แสดงคำเตือน

Zscaler ThreatLabz รายงานว่าแก๊งแรนซัมแวร์ใช้ GenAI ช่วยเขียนฟิชชิง สำรวจระบบ และคัดเอกสารที่อ่อนไหวที่สุดไปขู่เปิดเผย แทนการพึ่งการเข้ารหัสไฟล์อย่างเดียว แก๊งใหญ่ 10 อันดับแรกขโมยข้อมูลรวม 896.2 TB ระหว่างเมษายน 2568 ถึงมีนาคม 2569 เพิ่มขึ้น 275.8% แต่ตัวเลขนี้ไม่ได้วัดว่าส่วนใดมาจาก AI ในเหตุ Payouts King พบการส่งข้อมูลออกผ่าน SFTP ภายในไม่กี่ชั่วโมงหลังเจาะได้ และพบสคริปต์ที่น่าจะสร้างด้วย AI หลายเวอร์ชัน Zscaler เสนอให้วัด time to exfiltration แทนการตรวจจับการเข้ารหัส

บริษัท Microsoft เพิ่มการตรวจ QR code ในข้อความ Teams ผ่าน Defender for Office 365 ตามประกาศ MC1490905 ระบบจะถอด URL ที่ซ่อนใน QR code หลังข้อความถูกส่งแล้ว และตรวจว่าชี้ไปเนื้อหาอันตรายหรือไม่ หากพบ Teams จะขึ้นคำเตือนบนข้อความ หรือบล็อกข้อความภายในเมื่อเปิด ZAP for Teams ไว้ URL ที่ถอดได้จะปรากฏในตาราง MessageUrlInfo ของ Defender XDR โดยมีค่า UrlLocation เป็น QRCode การทยอยเปิดใช้เริ่มต้นตุลาคมและคาดว่าเสร็จต้นพฤศจิกายน 2569 โดยไม่ต้องตั้งค่าเพิ่ม

บริษัท Gen Digital เปิดเผยโหลดเดอร์ใหม่สองตัวคือ WordlistLoader และ SynkLoader ที่ใช้ส่งเพย์โหลดขั้นถัดไปและน่าจะขายทางเข้าให้กลุ่มแรนซัมแวร์ WordlistLoader มากับแคมเปญ ClearFake ที่ใช้กล่อง CAPTCHA ปลอมแบบ ClickFix บนเว็บจริงที่ถูกเจาะ แล้วปิดท้ายด้วย Amatera Stealer ชื่อของมันมาจากการเก็บเชลล์โค้ดเป็นลำดับคำภาษาอังกฤษคำละหนึ่งไบต์ ส่วน SynkLoader มาทางฟิชชิงบน Microsoft Teams ที่สวมรอยฝ่ายไอที พร้อมโมดูลปลอมหน้าล็อกวินโดวส์ดักรหัสผ่าน

บริษัท Sophos เปิดเผยแคมเปญ STAC4749 ที่ผู้โจมตีปลอมเป็นฝ่ายไอทีโทรผ่าน Microsoft Teams หลอกพนักงานให้เปิดเซสชันควบคุมระยะไกลด้วย Quick Assist หรือเครื่องมือ RemSupp แล้ววางแบ็กดอร์ผ่าน PowerShell การโจมตีพุ่งเป้าองค์กรในแคนาดาและสหรัฐฯ กว่า 95% รวมหลายสิบองค์กรระหว่างกุมภาพันธ์ถึงมิถุนายน 2569 อย่างน้อย 3 กรณีจบลงด้วยแรนซัมแวร์ Chaos โดยกรณีหนึ่งใช้เวลาจากสายแรกถึงเข้ารหัสไฟล์ไม่ถึง 17 ชั่วโมง

บริษัท Zscaler ThreatLabz เปิดเผยแคมเปญฟิชชิงด้วยเสียง (Vishing) ที่แฮ็กเกอร์โทรผ่าน Microsoft Teams แอบอ้างเป็นฝ่ายไอทีของบริษัท หลอกให้พนักงานอนุมัติเซสชัน Quick Assist เพื่อยึดการควบคุมเครื่องจากระยะไกล จากนั้นใช้ PowerShell สำรวจระบบและติดตั้งแบ็กดอร์ตัวใหม่ชื่อ GoGRPC ที่เขียนด้วยภาษา Go นักวิจัยพบมัลแวร์อีก 4 สายพันธุ์และเครื่องมือเสริมหลายตัว โดยประเมินว่าผู้ก่อเหตุน่าจะทำหน้าที่เป็นนายหน้าขายการเข้าถึงเครือข่าย (Initial Access Broker) ให้กลุ่มแรนซัมแวร์

นักวิจัยจาก ZeroBEC เปิดโปงแคมเปญฟิชชิงชื่อ Operation BlueDash ที่ใช้เหยื่อล่อธีม Microsoft Teams หลอกว่าต้องอัปเดตก่อนเปิดเอกสาร แล้วลอบติดตั้งเครื่องมือ RMM ที่ถูกกฎหมายพร้อมกันสองตัวคือ Level RMM และ ConnectWise ScreenConnect เพื่อยึดการเข้าถึงเครื่องเหยื่อระยะไกลแบบสำรองซ้ำ ผู้โจมตีถูกโยงกับกลุ่มในไนจีเรียด้วยความมั่นใจปานกลางถึงสูง เคลื่อนไหวมาตั้งแต่กุมภาพันธ์ 2569 และใช้กลยุทธ์หลายแบรนด์สลับทั้ง Teams และ Zoom

บริษัท Microsoft ยืนยันปัญหาที่ทราบแล้วใน Teams บน macOS ที่ทำให้การแชร์หน้าจอล้มเหลว ค้าง หรือขึ้นจอดำระหว่างประชุม กระทบเครื่องที่รัน macOS เวอร์ชันเก่ากว่า Tahoe 26.4 โดยเฉพาะเครื่องที่หน่วยความจำต่ำหรือดิสก์เต็ม ปัญหานี้กระทบองค์กรที่ใช้ Microsoft 365 Government (GCC, GCC High, DoD) เป็นหลัก Microsoft เลื่อนกำหนดออกแนวทางแก้ในผลิตภัณฑ์เป็นปลายกรกฎาคม 2569 เสร็จสมบูรณ์กลางสิงหาคม ผู้ใช้แก้ได้ทันทีด้วยการอัปเดต macOS เป็น Tahoe 26.4 หรือเปิดใช้ Mac OS native sharing

บริษัท Palo Alto Networks (Unit 42) เปิดเผยแคมเปญที่ปลอมเป็นทีมไอทีซัพพอร์ตโทรผ่าน Microsoft Teams หลอกพนักงานให้ติดตั้งมัลแวร์ EtherRAT ผู้โจมตีเริ่มจากอีเมลฟิชชิงแนบ PDF แล้วโทรจากบัญชีภายนอกอ้างเป็นผู้ดูแลระบบ ก่อนหลอกให้เปิดสิทธิ์ควบคุมเครื่องและติดตั้งเครื่องมือรีโมตจริงอย่าง AnyDesk สุดท้ายรัน EtherRAT ที่ใช้สัญญาอัจฉริยะ Ethereum ซ่อนเซิร์ฟเวอร์ควบคุมสั่งการ ทำให้ปิดกั้นได้ยาก