回复邀请：一次点击如何安装远程访问木马

摘要

网络犯罪分子正在使用伪装成社交活动邀请的网络钓鱼电子邮件来分发恶意软件。受害者通过虚假的RSVP按钮被重定向到验证码验证页面，然后转到恶意下载站点。攻击最终安装了远程访问木马（RAT），使攻击者对受感染的设备进行广泛控制。

调查

Cofense网络钓鱼防御中心识别出一个依赖模糊、好奇心驱动的社会工程活动。研究人员揭示了一种多阶段感染流程，该流程使用托管在新注册、未命名域名上的验证码页面来创造虚假的合法感。最终的有效载荷是被滥用用于恶意访问的合法远程支持应用程序。

缓解措施

组织应提供员工培训，重点是识别涉及模糊、紧急或基于好奇心的电子邮件诱饵的社会工程技术。技术防御应包括阻挡可疑URL的电子邮件安全网关及监控未授权的远程访问工具。端点保护还应在关键软件处于可疑或意外上下文中执行时标记。

响应措施

检测到恶意活动时，应立即将受影响的主机与网络隔离，以防止继续进行未经授权的访问。进行全面的取证调查以确定妥协的范围，并识别潜在的数据泄露。重置受影响用户的证书，并审查系统日志以查找未经授权的连接、持久性机制或其他可疑活动。

模拟执行

• 攻击叙述和命令： 对手发起鱼叉式网络钓鱼攻击，发送带有通向虚假“活动邀请”链接的电子邮件。一旦点击，用户将被提示下载一个文件。在此模拟中，我们模拟用户执行下载的最后阶段 ScreenConnect.ClientSetup.exe。其目标是建立远程访问立足点。执行这一特定文件名将触发高严重性警报。

• 回归测试脚本：

  # 模拟脚本：触发ScreenConnect检测
  # 注意：我们正在创建一个目标名称的虚拟文件以模拟执行
  # 而不实际安装潜在的恶意软件。
  
  $targetName = "ScreenConnect.ClientSetup.exe"
  $tempPath = Join-Path $env:TEMP $targetName
  
  Write-Host "[+] 正在创建虚拟文件：$tempPath"
  New-Item -Path $tempPath -ItemType File -Force
  
  Write-Host "[+] 模拟执行 $targetName..."
  # 使用 Start-Process 生成进程创建事件（事件ID 1 / 4688）
  Start-Process -FilePath $tempPath -WindowStyle Hidden -ErrorAction SilentlyContinue
  
  Write-Host "[+] 模拟命令完成。检查 SIEM 的警报。"

• 清理命令：

  # 清理脚本
  $targetName = "ScreenConnect.ClientSetup.exe"
  $tempPath = Join-Path $env:TEMP $targetName
  
  if (Test-Path $tempPath) {
      Remove-Item -Path $tempPath -Force
      Write-Host "[+] 已清理虚拟文件：$tempPath"
  } else {
      Write-Host "[-] 未找到虚拟文件。无可清理。"