何が起きたのか
イラン国家系APTグループMuddyWater（別名：Mango Sandstorm・Mercury・Seedworm）が、2026年前半にMicrosoft Teamsを使った高度なソーシャルエンジニアリングで組織に侵入し、Chaosランサムウェアのアーティファクトをインシデント対応チームを欺くための「偽旗（false flag）」として残していたことが判明した。セキュリティ研究会社Rapid7が公開したレポートによると、攻撃の本質は金銭目的のランサムウェアではなく、イラン情報省（MOIS）に資する国家スパイ活動（諜報・認証情報窃取・データ持ち出し）である。
Teams「ITサポートなりすまし」の手口
攻撃の入り口はMicrosoft Teamsだった。攻撃者は外部テナントのアカウントを用意し、ターゲット組織の従業員に対して「社内ITサポート」を名乗るTeamsメッセージを送信した。
Teamsはデフォルト設定で外部テナントからのメッセージ受信を許可していることが多く、組織の従業員は受信したメッセージが本当に社内のITチームからのものかどうかを画面上だけで判断しにくい。攻撃者はこの「信頼の非対称性」を利用した。
画面共有セッションが確立されると、攻撃者は以下の操作を実行した。
- 認証情報の詐取（入力させる、または画面から読み取る）
- MFA保護の操作（認証の承認を被害者本人にさせる）
- 正規のリモートアクセスツール（DWAgent・AnyDesk）のインストール誘導
この後、DWAgentやAnyDeskを経由した持続的なリモートアクセス基盤が確立され、攻撃者はいつでも組織内に入り込める状態になった。
Chaosランサムウェアは「煙幕」だった
侵害された環境にはChaosランサムウェアのバイナリと関連アーティファクトが残されていた。しかし、実際にファイル暗号化は一切実行されなかった。
Rapid7はこの行動を以下のように分析している。
- 帰属妨害: ランサムウェアのアーティファクトが見つかれば、インシデント対応チームの調査は「金銭目的の犯罪グループ」という方向に誘導される。国家スパイという仮説に辿り着くまでに時間を稼げる
- 対応リソースの分散: ランサムウェアと認識されると組織の対応はバックアップ確認・復旧・身代金交渉に集中し、攻撃者の真の目標（データ窃取・永続化）の継続が容易になる
- エスカレーション回避: ランサムウェアインシデントは犯罪として処理されやすいが、国家スパイ活動として認識されれば政府機関への報告・外交問題化が生じ得る
技術的な解説
MuddyWaterの帰属根拠
Rapid7は以下の根拠からMuddyWaterへの帰属を判断した。
- 悪性実行ファイル「ms_upd.exe」の署名に使われたコードサイニング証明書の名義（"Donald Gay"）がMuddyWaterの過去のキャンペーンで使用したものと一致
- 使用されたC2インフラがMuddyWaterの既知IPアドレス範囲と重複
- DWAgentを使った永続化はMuddyWaterのTTPに合致
MuddyWaterは米政府によってイランの情報省（MOIS）と公式に関連付けられているAPTグループであり、2011年頃から活動が観測されている。主な標的は中東・中央アジア・欧米の政府機関・防衛関連企業・通信事業者だが、近年はアジア・太平洋地域への拡大も確認されている。
DLLサイドローディングによる別キャンペーン
同時期（2026年第1四半期）に別のMuddyWaterキャンペーンも確認されており、DLLサイドローディング技術を使って4大陸・9カ国・少なくとも9組織を侵害した。このキャンペーンでは正規の署名済みバイナリを踏み台に使った。
| 使用されたバイナリ | 正規の用途 |
|---|---|
| fmapp.exe（Fortemedia製） | オーディオデバイスドライバ管理 |
| sentinelmemoryscanner.exe（SentinelOne製） | セキュリティスキャン |
特にSentinelOne製のバイナリを悪用することで、セキュリティ製品そのものがDLLサイドローディングの踏み台になるという皮肉な状況が生まれた。正規のデジタル署名付きバイナリがプロセスを起動するため、多くのEDRは親プロセスの正規性判定をパスしてしまう。
正規RATの悪用：C2の隠蔽
MuddyWaterはC2通信に正規のリモート管理ツール（RMM）を好んで使用する。AnyDesk・DWAgent・SimpleHelpなどは正規のサポートソフトウェアであり、URLレピュテーションチェックやプロキシフィルタリングをすり抜けやすい。また、組織内にIT部門が使う「正規のRAT」が存在する環境では、ログの中から悪性の使用を識別することが困難になる。
偽旗作戦としてのChaosランサムウェア
Chaosはオープンソースとして公開されているランサムウェアビルダーで、犯罪グループが広く使用している。MuddyWaterはChaosのバイナリをシステム上に置くことで「これは犯罪グループのランサムウェア攻撃だ」という第一印象を作り出した。
インシデントレスポンダーはランサムウェアを発見すると、初動対応として以下を実施する傾向がある。
- 感染拡大の封じ込め（ネットワーク隔離）
- バックアップからの復旧計画立案
- 身代金交渉の検討
- ランサムウェアグループの特定
これらに集中している間、攻撃者が設置したバックドアは見落とされ、窃取したデータ・認証情報はすでに外部に出ている可能性がある。
日本企業への影響
Teamsを使った攻撃は特定APTに限らない
日本企業がMuddyWater自体に標的にされる可能性は限定的かもしれないが、Teamsを使った「ITサポートなりすまし」手口は複数の攻撃グループで確認されている。
- Black Basta（ランサムウェアグループ）: 2024〜2025年にTeamsを使ったソーシャルエンジニアリング攻撃を大規模展開。社内ITを装ってQuick Assistのインストールを誘導
- Storm-0324（マルウェアディストリビューター）: TeamsでフィッシングURLを配布し、JSSLoaderを感染させた
つまり「Teams DMでITサポートを名乗って画面共有を求められた場合の対応手順」は、MuddyWaterに限らず広く必要とされる防御だ。
ランサムウェアの過少診断リスク
「ランサムウェアに見えるが暗号化されていない」インシデントは、防御側にとって混乱を招く。以下のリスクがある。
- 侵害の全体像を把握できないまま復旧してしまい、バックドアが残存する
- 情報漏洩の事実を認識できず、個人情報保護法の報告義務を満たせない
- 攻撃者の真の目的（産業スパイ・技術情報窃取）を見逃す
日本の製造業・防衛関連・半導体・政府調達に関わる組織は、国家スパイの関心対象となる可能性を念頭に置き、「ランサムウェアインシデントが偽旗である可能性」を初動調査の段階から検討すべきだ。
今すぐ確認すべきポイント
1. Teams外部アクセス設定を見直す
外部テナントからTeamsメッセージを受信できる設定になっているかを確認する。不要な場合は外部テナントからの直接DMを無効化するか、許可ドメインを限定する。
# Teams管理センターで確認する設定箇所
# 管理センター > 外部アクセス
# 「外部のTeamsユーザーが組織内ユーザーを検索・連絡できるようにする」2. 外部からのTeams画面共有要求に確認フローを設ける
正規の社内ITサポートが画面共有を求める際の標準手順を文書化し、Teamsのみ（電話・別チャネルでの確認なし）の要求では応じないルールを設ける。「TeamsでITサポートを名乗る人物から画面共有を求められたら、IT部門のヘルプデスクチケット番号を確認する」という手順が有効だ。
3. リモートアクセスツールのインストールを制御する
AnyDesk・DWAgent・SimpleHelpなど未承認のRMMツールのインストールをアプリ制御ポリシー（WDAC・AppLocker・Intune）でブロックする。インストール済みのRMMツールを定期的に棚卸しし、未承認のものを即時削除する。
4. ランサムウェアインシデントの初動に「偽旗チェック」を組み込む
ランサムウェアのアーティファクトが見つかっても、以下を確認してから対応方針を決める。
- 実際にファイルが暗号化されているか
- 身代金メモが表示されているか
- 暗号化されていないのにランサムウェアバイナリが置かれている場合は偽旗の可能性を検討する
- C2通信の痕跡・バックドアの存在・認証情報の持ち出しを独立して調査する
5. DLLサイドローディングの検知を強化する
Sysmon・EDRのDLLインジェクション検知を有効化し、正規の署名済みバイナリが予期しないパスからDLLをロードしていないかを監視する。Fortemedia（fmapp.exe）やSentinelOne製バイナリが不審な動作をしていないかをアラートの対象に追加する。
6. テナント外からのTeams着信を識別できるよう教育する
TeamsのUIでは外部テナントからのメッセージに「外部」バッジが表示される。このUIの見方を従業員に周知し、外部ユーザーからのITサポートを名乗る連絡を「必ず怪しいと思え」という文化を醸成する。インシデント対応の基本については セキュリティインシデント対応手順 も参照されたい。
参考情報
- The Hacker News: MuddyWater Uses Microsoft Teams to Steal Credentials in False Flag Ransomware Attack
- SecurityWeek: Iranian APT Intrusion Masquerades as Chaos Ransomware Attack
- BleepingComputer: MuddyWater hackers use Chaos ransomware as a decoy in attacks
- Rapid7: Muddying the Tracks: The State-Sponsored Shadow Behind Chaos Ransomware
- The Hacker News: MuddyWater Uses DLL Side-Loading in Espionage Campaign Targeting 9 Countries