在网络安全领域，每一次技术的迭代都伴随着攻击手法的进化。近期，安全公司ZeroBEC披露了一起极具迷惑性的钓鱼攻击事件：黑客利用山寨微软Teams更新邮件，诱导用户下载看似合法的远程控制工具，从而将受害者设备变为“肉鸡”。值得注意的是，这起攻击中，黑客巧妙地利用了人们对“AI产品”的信任——微软Teams本身作为一款协作AI产品，其更新通知往往被用户视为理所当然。然而，当攻击者将恶意脚本伪装成更新包时，即便是经验丰富的IT人员也可能中招。本文将深度还原攻击链路，剖析黑客为何青睐合法远程工具，并探讨在AI产品日益普及的背景下，企业如何构建有效的防御体系。
钓鱼邮件新变种：伪装成Teams更新，实则暗藏远程控制
这起攻击的起点是一封看似普通的钓鱼邮件。黑客向多个目标批量发送邮件，声称对方发送的文件体积过大，无法直接作为附件，因此“改用Teams进行文件共享”，并建议收件人通过桌面电脑或笔记本打开链接查看。这种话术利用了办公场景中常见的文件传输痛点，降低了用户的警惕性。当收件人点击链接后，会被引导至一个高度仿冒的微软商店Microsoft Store页面，页面提示用户必须更新Teams客户端才能开启共享文件。
然而，用户从该网站下载的文件实际上是一个名为“supportdev.exe”的恶意脚本，利用Inno Setup封装。一旦执行，该脚本会在隐藏窗口状态下下载两个合法的远程控制工具：Level RMM和ConnectWise ScreenConnect。这两个工具本身是用于企业远程管理和技术支持的正规软件，但在此处被黑客滥用，成为控制受害设备的通道。ZeroBEC指出，黑客主要依赖Level RMM作为访问通道，同时将ScreenConnect作为备用控制方式，确保即使主要路径失效也能维持对设备的控制。
这种攻击方式的高明之处在于，它完全绕过了传统的安全检测机制。由于远程控制工具本身具有合法签名，防火墙和杀毒软件往往不会将其视为威胁。而用户对Teams更新通知的信任，则进一步降低了拦截概率。企业用户若未对异常远程管理工具安装行为进行监控，很容易在不知不觉中沦为“肉鸡”。
黑客为何盯上合法远程工具？从“肉鸡”到“影子IT”的隐患
近年来，黑客越来越倾向于滥用合法远程控制工具，这一趋势并非偶然。传统的恶意软件往往需要自行编写后门或植入木马，这些代码容易被安全软件的特征库识别。而像Level RMM、ConnectWise ScreenConnect这类企业级远程管理工具，本身具备合法的数字签名和广泛的商业用途，能够轻松通过安全扫描。黑客只需要通过一个简单的加载器（如本例中的恶意脚本）将工具下载到目标设备，即可利用其原生功能实现远程控制。
从攻击者的视角来看，使用合法工具还有另一个优势：它们通常具备完整的日志记录、文件传输、命令行执行等功能，甚至支持无人值守模式。这意味着黑客可以像正常IT管理员一样操作受害设备，进行数据窃取、横向移动或部署勒索软件。而受害者即使发现设备异常，也很可能将其归咎于正常的远程维护活动。
这种“影子IT”现象——即企业员工未经IT部门批准擅自使用第三方远程工具——同样为攻击者提供了可乘之机。许多企业缺乏对安装程序行为的细粒度监控，导致合法工具被滥用时无法及时发现。随着最新科技的发展，黑客甚至开始利用AI产品来生成更逼真的钓鱼邮件文案，进一步降低攻击成本。例如，攻击者可以使用AI诗词生成具有欺骗性的邮件正文，或者利用AI图片生成制作仿冒的微软商店页面，使钓鱼页面在视觉上几乎无法分辨。
深度解析攻击链：从恶意脚本到双重控制通道
为了更清晰地理解这起攻击的技术细节，我们来拆解其完整的攻击链。第一阶段：黑客通过钓鱼邮件发送诱饵，邮件内容模仿真实的工作场景，并嵌入一个指向山寨微软商店的链接。第二阶段：用户点击链接后，看到的是伪造的更新页面，页面提示“必须更新Teams客户端才能查看共享文件”，这一设计利用了用户对科技产品更新流程的熟悉感。第三阶段：用户下载并执行“supportdev.exe”，该脚本利用Inno Setup的合法安装程序特性，在后台静默下载Level RMM和ScreenConnect的安装包。
第四阶段：恶意脚本启动Level RMM作为主要远程控制通道，同时安装ScreenConnect作为备用方案。这种双重冗余设计确保了即使Level RMM的连接被阻断，黑客仍能通过ScreenConnect维持控制。第五阶段：黑客通过远程工具执行后续操作，如窃取凭证、部署勒索软件或建立持久化访问。整个过程中，安全软件可能只会记录到“用户安装了远程管理软件”的合法事件，而不会产生告警。
值得注意的是，攻击者选择的Level RMM和ScreenConnect都是企业广泛使用的远程支持工具，它们的安装包体积小、网络流量特征与正常更新相似，进一步增加了检测难度。对于企业安全团队来说，监控此类工具的安装行为需要结合端点检测与响应（EDR）系统，并设置针对“未经批准的远程控制软件安装”的告警规则。此外，使用AI工具导航可以帮助企业快速筛选出市面上常见的合法远程工具，将其纳入白名单或黑名单管理。
AI产品如何成为双刃剑？安全与攻击的攻防博弈
这起事件引出了一个更深层次的思考：AI产品本身在带来效率提升的同时，也在被攻击者反向利用。微软Teams作为一款典型的AI产品，其协作功能依赖云服务和客户端更新机制。黑客正是利用了用户对AI产品更新通知的信任，才得以成功实施钓鱼。而远程控制工具Level RMM和ScreenConnect，本质上也是基于AI的自动化管理工具，它们被设计用于提升IT运维效率，却被黑客改造成攻击武器。
这种“双刃剑”效应在网络安全领域并不鲜见。例如，AI画图工具可以被用于生成逼真的虚假广告图片，文生图技术则可能被用于制作深度伪造的钓鱼页面。与此同时，安全厂商也在利用AI产品来对抗攻击：AI驱动的威胁检测系统能够分析邮件头、URL特征和附件行为，识别出钓鱼邮件的反常模式；基于大模型的AI Agent技术可以自动生成安全响应剧本，缩短事件处置时间。
对于企业而言，关键不在于是否使用AI产品，而在于如何管理这些产品带来的风险。首先，企业应建立严格的应用安装审批流程，任何远程控制工具的安装都必须经过IT部门授权。其次，部署端点安全软件时，应开启“行为监控”功能，重点关注安装程序是否在后台下载其他可执行文件。最后，定期对员工进行安全意识培训，特别是针对伪装成AI产品更新通知的钓鱼邮件。可以用AI网名生成随机测试场景，模拟真实攻击案例，提高员工辨识能力。
企业防护指南：构建多层防御体系应对新型钓鱼威胁
面对日益复杂的钓鱼攻击，企业需要从技术、流程和人员三个层面构建防御体系。在技术层面，建议采用零信任架构，对所有网络连接和应用程序执行最小权限原则。对于远程控制工具的安装，应设置“仅允许从官方应用商店下载”的策略，并利用抠图技术对网站截图进行验证，防止仿冒页面。此外，部署沙箱环境对可疑文件进行动态分析，可以提前发现恶意脚本的下载行为。
在流程层面，企业应建立事件响应预案，明确当检测到合法远程工具被滥用时的处置步骤。例如，一旦发现Level RMM或ScreenConnect的异常安装，应立即隔离受影响设备，并检查邮件服务器日志，追溯钓鱼邮件的来源。同时，与安全厂商合作，订阅针对最新科技威胁的威胁情报，及时更新黑名单。
在人员层面，除了常规的钓鱼演练外，还应让员工了解“AI产品”也可能成为攻击入口。例如，微软Teams的更新通常通过内置更新机制自动完成，极少要求用户手动下载安装包。当遇到要求手动下载更新的邮件时，应视为高风险行为。还可以利用艺术签名设计定制化的安全提示贴纸，贴在办公区显眼位置，提醒员工警惕社交工程攻击。
未来趋势：AI驱动的安全检测与自动化响应
展望未来，AI产品在网络安全领域将扮演愈发重要的角色。一方面，攻击者会利用AI技术生成更逼真的钓鱼邮件、更隐蔽的恶意脚本，甚至通过大模型训练来自动化生成攻击代码。另一方面，防御方也在加速采用AI产品来提升检测效率。例如，基于机器学习的异常行为分析系统可以学习正常用户的团队协作模式，一旦发现Teams更新请求的异常频率或来源，立即触发告警。
自动化响应也是未来的一大趋势。当AI检测到可疑的远程控制工具安装行为时，可以自动断开网络连接、终止进程并锁定用户账户，整个过程无需人工干预。这种“AI+自动化”的防护模式，能够大幅缩短攻击者在网络中的停留时间。此外，企业可以借助AI工具箱整合多种安全工具，形成统一的威胁检测与响应平台。
对于普通用户而言，也应该主动了解最新科技的发展动态，提升自身的安全素养。例如，在收到声称来自Teams的更新邮件时，可以先通过官方渠道确认，或者使用透明背景技术检查邮件中的图片是否经过PS处理。这些看似微小的习惯，往往能成为阻止攻击的关键防线。
总之，这起事件再次提醒我们：在AI产品日益普及的今天，攻击者与防御者之间的技术博弈将不断升级。企业唯有保持警惕，持续更新防护策略，才能在数字化的浪潮中立于不败之地。