安全公司报告黑客利用钓鱼邮件，借“更新微软 Teams 客户端”为名传播恶意脚本
IT之家 7 月 28 日消息，安全公司 ZeroBEC 发文，披露有黑客利用山寨微软 Teams 更新邮件进行钓鱼攻击。
黑客首先向多个目标批量发送钓鱼邮件，声称向对方发送文件，但文件体积过大，无法直接作为附件发送，因此“改用 Teams 进行文件共享”，并建议收件人通过桌面电脑或笔记本打开链接查看。
当收件人点击链接后，会被引导至一个山寨的微软商店 Microsoft Store 页面，该页面声称用户必须更新 Teams 客户端，才能开启共享文件。
然而，用户从该网站下载的文件实际上是一款利用 Inno Setup 封装的恶意脚本“supportdev.exe”，如果收件人执行该安装程序，电脑会在隐藏窗口状态下下载合法的远程控制工具 Level RMM 以及 ConnectWise ScreenConnect，从而将受害设备变为黑客手中的“肉鸡”。
ZeroBEC 指出，黑客主要通过 Level RMM 作为访问受害设备的通道，同时部署的 ScreenConnect 则作为备用远程控制方式，以确保在主要访问路径失效时仍能维持对受感染设备的控制。
研究人员提醒，**近年来黑客越来越倾向于滥用合法远程控制工具将受害者设备作为“肉鸡”**，此类软件本身具备企业远程管理功能，容易绕过传统安全检测机制，以便黑客长期控制。企业用户应加强对异常远程管理工具安装行为、可疑 Teams 共享链接以及未经授权的软件部署行为的监控，以降低类似攻击风险。
---
原文链接：[点击查看](https://www.ithome.com/0/982/736.htm)
黑客首先向多个目标批量发送钓鱼邮件，声称向对方发送文件，但文件体积过大，无法直接作为附件发送，因此“改用 Teams 进行文件共享”，并建议收件人通过桌面电脑或笔记本打开链接查看。
当收件人点击链接后，会被引导至一个山寨的微软商店 Microsoft Store 页面，该页面声称用户必须更新 Teams 客户端，才能开启共享文件。
然而，用户从该网站下载的文件实际上是一款利用 Inno Setup 封装的恶意脚本“supportdev.exe”，如果收件人执行该安装程序，电脑会在隐藏窗口状态下下载合法的远程控制工具 Level RMM 以及 ConnectWise ScreenConnect，从而将受害设备变为黑客手中的“肉鸡”。
ZeroBEC 指出，黑客主要通过 Level RMM 作为访问受害设备的通道，同时部署的 ScreenConnect 则作为备用远程控制方式，以确保在主要访问路径失效时仍能维持对受感染设备的控制。
研究人员提醒，**近年来黑客越来越倾向于滥用合法远程控制工具将受害者设备作为“肉鸡”**，此类软件本身具备企业远程管理功能，容易绕过传统安全检测机制，以便黑客长期控制。企业用户应加强对异常远程管理工具安装行为、可疑 Teams 共享链接以及未经授权的软件部署行为的监控，以降低类似攻击风险。
---
原文链接：[点击查看](https://www.ithome.com/0/982/736.htm)
评论
暂无评论。