DarkGate 恶意软件正在通过微软群聊进行大肆传播
内容提要
根据AT&T Cybersecurity的研究，网络钓鱼攻击者通过Microsoft Teams群组聊天请求推送恶意附件，安装DarkGate恶意软件。建议禁用Microsoft Teams中的外部访问，警惕未经请求的信息。DarkGate操作员利用Microsoft Teams推送恶意软件，去年也有类似活动。DarkGate恶意软件攻击激增，网络犯罪分子更多地转向DarkGate恶意软件加载器。DarkGate开发者称其包含多种功能，网络犯罪分子采用多种传播方式。
延伸解读
Teams 默认设置成攻击入口
微软 Teams 默认允许外部用户向组织内用户发送消息，这为攻击者提供了可乘之机。攻击者无需入侵账号即可直接发起群聊邀请，并推送恶意文件。对于多数企业而言，若没有明确的跨组织沟通需求，这一默认设置会显著扩大攻击面。AT&T 专家建议禁用外部访问，正是基于该默认行为带来的风险。
双扩展名文件仍是有效诱饵
攻击者使用“Navigating Future Changes October 2023.pdf.msi”这类双扩展名文件，利用 Windows 默认隐藏已知扩展名的特性，诱使用户误以为打开的是 PDF 文档。实际运行的是 MSI 安装包，会静默安装 DarkGate 恶意软件。这种手法并不新颖，但在 Teams 聊天场景中，由于用户对内部沟通工具的信任，警惕性往往更低，因此更容易得逞。
DarkGate 填补 Qakbot 留下的空缺
自去年 8 月 Qakbot 僵尸网络被捣毁后，网络犯罪分子更多转向 DarkGate 恶意软件加载器，将其作为初始访问企业网络的首选。DarkGate 开发者声称其具备隐蔽 VNC、绕过 Windows Defender、窃取浏览器历史、集成反向代理和 Discord 令牌窃取等功能。功能全面且通过多种方式传播，导致 DarkGate 攻击事件激增。
防御需兼顾工具与意识
除了禁用 Teams 外部访问，企业还应提醒员工警惕未经请求的群聊邀请和文件。网络钓鱼已不限于电子邮件，Teams 等协作工具同样可能被滥用。AT&T 专家指出电子邮件仍是监控更严密的渠道，但任何渠道都需结合技术管控与用户教育。对于必须使用外部协作的团队，应制定明确策略并监控异常文件传输。
Q&A
DarkGate 恶意软件是如何通过 Microsoft Teams 传播的？
攻击者通过 Microsoft Teams 群组聊天请求发送恶意附件，诱骗用户下载双扩展名文件（如 'Navigating Future Changes October 2023.pdf.msi'），从而安装 DarkGate 恶意软件。
为什么 Microsoft Teams 会成为 DarkGate 网络钓鱼的攻击目标？
因为微软默认允许外部 Teams 用户向其他用户发送消息，这给了攻击者可乘之机。此外，Teams 拥有 2.8 亿用户，是威胁行为者眼中的“肥肉”。
如何防范通过 Microsoft Teams 传播的 DarkGate 恶意软件？
建议大多数公司禁用 Microsoft Teams 中的外部访问，除非日常必要业务需使用。同时提醒用户警惕未经请求的信息，因为网络钓鱼形式多样，不一定是典型的电子邮件钓鱼。
DarkGate 恶意软件有哪些功能？
DarkGate 包含隐蔽的 VNC、绕过 Windows Defender 的工具、浏览器历史记录窃取工具、集成的反向代理、文件管理器和 Discord 令牌窃取器等功能。
DarkGate 攻击事件为何在近期激增？
自去年 8 月 Qakbot 僵尸网络被捣毁后，网络犯罪分子更多地转向 DarkGate 恶意软件加载器，将其作为初始访问企业网络的首选。同时，网络犯罪分子采用网络钓鱼和恶意广告等多种传播方式，导致攻击事件激增。
除了 Microsoft Teams，DarkGate 还通过哪些方式传播？
DarkGate 还通过被入侵的外部 Office 365 账户和 Skype 账户发送包含 VBA 加载器脚本附件的消息进行传播，以及采用网络钓鱼和恶意广告等多种方式。
