安全公司Praetorian的研究人员在BlackHat USA大会上公开了一种名为“Ghost Calls”的新型命令与控制（C2）隐蔽手段。据介绍，该方法利用Zoom和Microsoft Teams等主流会议工具中的TURN服务器，将恶意流量穿透企业防护，通过合规的通信基础设施进行隐蔽操作。
攻击者通过获取并滥用临时TURN凭证，建立基于WebRTC的加密隧道，将指令流量伪装成正常的视频会议数据，成功绕开企业常见的防火墙、代理及TLS流量检测。这种方法无需漏洞利用，而是依靠会议协议的设计特点，使恶意会话混入普通企业网络流量，几乎无法被察觉。
PRAETORIAN安全专家Adam Crosser指出，Ghost Calls已被用于红队渗透测试，并开发出开源工具“TURNt”实现上述技术，让攻击者无须暴露自身基础设施便可获得高性能、低时延且适配性强的C2通道。业内专家提醒，企业需警惕基于合法云服务的流量隐藏攻击手法。