Ransomware gang abuses Microsoft Teams relays to hide malicious traffic

DragonForceランサムウェアは、「Backdoor.Turn」という名前のカスタムマルウェアを使用して、Microsoft Teamsのリレーインフラストラクチャ内にコマンド＆コントロール通信を隠蔽していました。

このバックドアは、クライアントへの直接接続が利用できない場合（例：プライベートネットワーク上のクライアントなど）に、Microsoft Teamsがメッセージを配信するために使用する「NAT越えリレー（TURN）」プロトコルを悪用する。

DragonForceは、少なくとも2023年から活動しているランサムウェア組織であり、カルテル式の組織構造を採用しており、悪名高い脅威グループ「Scattered Spider」と関連付けられている。

image

サイバーセキュリティ企業シマンテックの研究者によると、ハッカーたちは米国の大手サービス企業に対する攻撃において、Go言語ベースのカスタムマルウェアを使用していた。

Backdoor.Turnは、TeamsのTURNインフラを悪用し、匿名のTeams訪問者トークンを取得した後、接続確立時に正規のMicrosoft TURNリレーを経由して、攻撃者のコマンド＆コントロール（C2）サーバーに接続します。

その結果、防御側はMicrosoft Teamsのインフラに関連するトラフィックしか検知できず、マルウェアは信頼されたネットワーク内で通信を隠蔽することが可能になる。

昨年、Praetorian社は「Ghost Calls」と呼ばれる新手法を開発し、TeamsやZoomの一時的なTURN認証情報を乗っ取り、信頼された会議インフラを通じてステルス通信トンネルを構築する方法を示した。

「Ghost Calls」が2025年にその概念を実証したのに対し、「Backdoor.Turn」は、コマンド＆コントロール通信のためにMicrosoft TeamsのTURNリレーを悪用した、実環境で確認された初のマルウェアである。

「Go言語ベースのRATである『Backdoor.Turn』は、Microsoft TeamsのTURNリレーサーバーを悪用してコマンド＆コントロールトラフィックを隠蔽する、既知の最初のマルウェアです」とシマンテックは述べています。

また、研究者らは、HuaweiのHWAuidoOs2Ec.sysドライバー（「Havoc Process Terminator」）の悪用についても指摘している。このドライバーは、「Bring Your Own Vulnerable Driver（BYOVD）」戦術における検知回避に利用されている。

DragonForceによる攻撃

2025年12月に確認されたこの攻撃は、SQLまたはMSSQLサーバーの未知の脆弱性の悪用から始まった可能性が高いと、シマンテックは指摘している。

攻撃者が足場を確立すると、正規の VirtualBox/DbgView 実行ファイルと、サイドローディングに使用される悪意のある DLL ファイルを含む ZIP アーカイブをダウンロードした。

この段階で、攻撃者は持続性を強化し、不正なユーザーを作成し、Windows の「LimitBlankPassword」セキュリティポリシーを悪用してアクセスを容易にし、ファイアウォールのルールを変更しました。

次に、HuaweiのHWAuidoOs2Ec.sys、Topaz Antifraudのwsftprm.sys（CVE-2023-52271）、 『Tower of Fantasy』のGameDriverx64.sys（CVE-2025-61155）、K7 SecurityのK7RKScan.sys（CVE-2025-1055）など、複数のドライバーを悪用したBYOVD手法を用いて、カーネルレベルの権限を取得し、ホスト上のセキュリティツールを終了させました。

また、ハッカーは、正規のPalo Altoドライバーを装ったカスタム悪意のあるドライバー「ABYSSWORKER」も使用した。

ランサムウェアの展開後、「DbgView64.exe」にリモートアクセストロイの木馬（RAT）である「Backdoor.Turn」が注入されており、これは持続性確保や将来的なアクセスを目的としている可能性を示唆している。

このマルウェアは、接続の確立時に正規の Microsoft TURN リレーサーバーを使用して匿名の Teams ビジタートークンを取得し、C2 との通信を確立します。

その機能には、コマンドの実行、プロセスの作成、ネットワークスキャン、TLS 証明書の取得、LDAP/Active Directory の検索、Web サイトのタイトルの収集、およびブラウザの認証情報の窃取が含まれます。

偵察を完了し、防御を回避した後、攻撃者はすべてのデータを盗み出し、DragonForceランサムウェアを展開して、被害者のシステムを暗号化した。

研究者らは、「このキャンペーンの背後にいるハッカーたちは、極めて洗練されたサイバー攻撃手法を用いている」と述べています。

シマンテックは、防御担当者がこのような攻撃を検知・阻止できるよう、侵害の兆候（IoC）の完全なリストを公開しています。