Quick-Assist

Arctic Wolf วิเคราะห์เคสหลายร้อยรายที่ผู้โจมตีใช้ฟีเจอร์แชตภายนอกของ Microsoft Teams ปลอมเป็นฝ่ายไอทีด้วยชื่ออย่าง IT Support (Internal) จาก tenant Microsoft 365 ที่สร้างใหม่ ราว 30-40% ใช้โดเมน onmicrosoft.com ระยะหลังหันไปจดโดเมน .top การหลอกมักตามหลังการถล่มอีเมลด้วยจดหมายสมัครสมาชิกนับร้อย แล้วชวนเหยื่อเปิด Quick Assist หรือ RMM อื่นให้ผู้โจมตีคุมเครื่อง ผู้โจมตีเลี่ยงการวาง URL ในแชตเพื่อหลบ Safe Links จึงต้องอาศัยการตรวจจับฝั่ง endpoint ควรจำกัดการแชตภายนอกและวาง allowlist ของ RMM

Microsoft ประกาศผ่าน Message Center MC1519866 เมื่อ 21 ตุลาคม 2569 ว่าจะเพิ่มการตรวจจับฟิชชิงด้วย AI ใน Microsoft Teams ระบบวิเคราะห์บริบทของบทสนทนาเพื่อจับการหลอกลวงที่ไม่มีลิงก์หรือไฟล์อันตราย เน้นแชตแรกกับผู้ติดต่อภายนอก ซึ่งผู้โจมตีมักปลอมเป็นฝ่ายไอทีขอรหัสผ่านหรือสิทธิ์ควบคุมเครื่อง Targeted Release เริ่มต้นพฤศจิกายน และเปิดใช้ทั่วโลกช่วงต้นถึงกลางธันวาคม แอดมินไม่ต้องตั้งค่าเพิ่ม แต่ช่วงแรกระบบอาจตรวจแบบเงียบโดยยังไม่แสดงคำเตือน

Zscaler ThreatLabz รายงานว่าแก๊งแรนซัมแวร์ใช้ GenAI ช่วยเขียนฟิชชิง สำรวจระบบ และคัดเอกสารที่อ่อนไหวที่สุดไปขู่เปิดเผย แทนการพึ่งการเข้ารหัสไฟล์อย่างเดียว แก๊งใหญ่ 10 อันดับแรกขโมยข้อมูลรวม 896.2 TB ระหว่างเมษายน 2568 ถึงมีนาคม 2569 เพิ่มขึ้น 275.8% แต่ตัวเลขนี้ไม่ได้วัดว่าส่วนใดมาจาก AI ในเหตุ Payouts King พบการส่งข้อมูลออกผ่าน SFTP ภายในไม่กี่ชั่วโมงหลังเจาะได้ และพบสคริปต์ที่น่าจะสร้างด้วย AI หลายเวอร์ชัน Zscaler เสนอให้วัด time to exfiltration แทนการตรวจจับการเข้ารหัส

บริษัท Huntress เปิดเผยกิจกรรมที่มีพฤติกรรมคล้าย worm ซึ่งอาศัย ConnectWise ScreenConnect กระจายห่วงโซ่ VBScript สี่ขั้นไปยังเครื่องที่เชื่อมต่อเข้ามาใหม่ พบสามเหตุการณ์ที่ไม่เกี่ยวข้องกันในเดือนสิงหาคม 2569 ใช้ช่องทางเข้าถึงต่างกันทั้งสแกมหลอกให้เปิด Quick Assist ตัวติดตั้ง MSI จากฟิชชิง และแบบฟอร์มคืนเงิน Geek Squad ปลอม สคริปต์จะสำรวจเครื่องแล้วเลือกเพย์โหลดตามค่าสถานะสามบิต ตั้งแต่แบ็กดอร์ระดับผู้ใช้ไปจนถึงการยกสิทธิ์และโปรแกรมขุดเหรียญ

บริษัท Sophos เปิดเผยแคมเปญ STAC4749 ที่ผู้โจมตีปลอมเป็นฝ่ายไอทีโทรผ่าน Microsoft Teams หลอกพนักงานให้เปิดเซสชันควบคุมระยะไกลด้วย Quick Assist หรือเครื่องมือ RemSupp แล้ววางแบ็กดอร์ผ่าน PowerShell การโจมตีพุ่งเป้าองค์กรในแคนาดาและสหรัฐฯ กว่า 95% รวมหลายสิบองค์กรระหว่างกุมภาพันธ์ถึงมิถุนายน 2569 อย่างน้อย 3 กรณีจบลงด้วยแรนซัมแวร์ Chaos โดยกรณีหนึ่งใช้เวลาจากสายแรกถึงเข้ารหัสไฟล์ไม่ถึง 17 ชั่วโมง

บริษัท Zscaler ThreatLabz เปิดเผยแคมเปญฟิชชิงด้วยเสียง (Vishing) ที่แฮ็กเกอร์โทรผ่าน Microsoft Teams แอบอ้างเป็นฝ่ายไอทีของบริษัท หลอกให้พนักงานอนุมัติเซสชัน Quick Assist เพื่อยึดการควบคุมเครื่องจากระยะไกล จากนั้นใช้ PowerShell สำรวจระบบและติดตั้งแบ็กดอร์ตัวใหม่ชื่อ GoGRPC ที่เขียนด้วยภาษา Go นักวิจัยพบมัลแวร์อีก 4 สายพันธุ์และเครื่องมือเสริมหลายตัว โดยประเมินว่าผู้ก่อเหตุน่าจะทำหน้าที่เป็นนายหน้าขายการเข้าถึงเครือข่าย (Initial Access Broker) ให้กลุ่มแรนซัมแวร์