這篇文章將為大家解析近期被 Securonix 命名為 SMOKE#SCREEN 的攻擊行動。這類攻擊最危險的地方不在於它使用了多麼複雜的漏洞，而是在於它巧妙地利用了「合法工具」來掩蓋惡意行為，讓資安防護軟體難以察覺。
對於剛接觸資安或系統維運的工程師來說，理解這種「利用合法工具 (Living off the Land)」的邏輯非常重要，因為這代表單純依賴黑名單或病毒碼掃描已經不足以保護系統。
攻擊者的偽裝術與進入路徑
這次攻擊的核心是社交工程 (Social Engineering)，也就是透過心理操縱讓使用者主動執行惡意程式。攻擊者偽裝成 Adobe 或 Zoom 的軟體更新通知，或是要求使用者審閱商務文件。
他們採取了多種進入路徑，讓防禦者很難捉摸： 第一種是透過釣魚郵件發送 VBScript (Visual Basic Script) 腳本。這是一種 Windows 內建的腳本語言，常用於自動化任務，但這裡被用作 Dropper (下載器)，負責將真正的惡意程式下載到電腦中。 第二種是利用信任的雲端平台。例如將惡意檔案放在 Dropbox 共享連結中，因為大多數企業環境會將 Dropbox 列入白名單，這能有效繞過網域信譽過濾 (Domain Reputation Filter) 的檢查。 第三種則是利用 Cloudflare Quick Tunnel。這原本是讓開發者能快速將本地伺服器暴露到外網的工具，但攻擊者利用它建立臨時的隧道，讓 C2 (Command and Control) 指令伺服器變得難以追蹤。
如何規避偵測：反分析與權限提升
為了防止被資安研究員或 EDR (Endpoint Detection and Response，端點偵測與回應系統) 發現，該攻擊鏈加入了一系列檢查機制。
在執行核心 payload 之前，腳本會先掃描系統中是否運行著 Wireshark (網路封包分析工具)、Process Monitor (系統監控工具) 或 VMware/VirtualBox 等虛擬機環境。如果偵測到這些工具，腳本會直接停止執行，以避免被分析。
此外，攻擊者還會嘗試禁用 AMSI (Antimalware Scan Interface)。AMSI 是 Windows 提供的一種介面，讓防毒軟體能掃描記憶體中執行中的腳本。一旦 AMSI 被關閉，後續執行的 PowerShell 指令就更容易逃過偵測。他們甚至會透過修改登錄表 (Registry) 關閉 SmartScreen 保護，並利用 UAC (User Account Control) 權限提升提示，誘導使用者授予管理員權限。
核心目的：將 RMM 工具變為後門
這次攻擊最關鍵的目標是安裝 ConnectWise ScreenConnect。這是一款合法的 RMM (Remote Monitoring and Management) 工具，通常由企業 IT 部門用來遠端維護電腦。
為什麼攻擊者要用 ScreenConnect 而不是自己寫一個木馬 (RAT)？ 首先，ScreenConnect 是合法簽署的軟體，不容易被防毒軟體標記為惡意。 其次，在企業環境中，IT 人員經常使用這類工具，惡意流量會與正常的維運流量混在一起，讓監控人員難以分辨。
一旦安裝成功，攻擊者就能獲得持久性的遠端存取權限，直接開啟遠端桌面操控受害者的電腦，而不需要再次觸發警報。
工程實務上的防禦建議
面對這種利用合法工具的攻擊，我們不能只依賴防毒軟體，而應採取以下策略：
限制 MSI 檔案執行：除非來源明確且經過驗證，否則應限制一般使用者執行 MSI 安裝包。 稽核 RMM 工具的使用：企業應建立清單，明確哪些 RMM 工具是被允許的，並監控是否有未經授權的遠端管理軟體被安裝。 監控異常進程：留意不尋常的 PowerShell 或 cmd.exe 行為，特別是那些嘗試修改登錄表或關閉安全服務的指令。 強化 UAC 設定：將 UAC 設定為最高等級，防止標準使用者在未經審核的情況下輕易繞過權限提升提示。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。