黑客借更新微软Teams钓鱼邮件传播恶意脚本

安全公司 ZeroBEC 近日曝光了一起精心策划的网络钓鱼攻击事件，黑客通过伪造微软 Teams 更新邮件，层层诱导用户落入陷阱。整个攻击流程堪称社会工程学的经典案例。

这场攻击始于一封群发的钓鱼邮件，邮件声称收件人收到了一份文件，但因体积过大无法作为附件直接发送，因此“改用 Teams 进行文件共享”，并建议收件人通过电脑或笔记本点击链接查看。乍看之下合情合理，然而一旦点击链接，用户将被引导至一个伪造的微软商店页面，页面提示必须更新 Teams 客户端才能打开共享文件。

问题正出在此处。用户从该网站下载的文件，实际上是一个通过 Inno Setup 打包的恶意脚本，文件名为 supportdev.exe。一旦运行该安装程序，系统便会在隐藏窗口状态下，偷偷下载两款合法的远程控制软件——Level RMM 和 ConnectWise ScreenConnect。这两款工具本用于企业远程设备管理，但落入黑客手中后，却成为将受害者设备变成“肉鸡”的利器。

ZeroBEC 的分析报告指出，黑客主要利用 Level RMM 作为入侵受害设备的主要通道，同时部署 ScreenConnect 作为备用远程控制方案。这样一来，即使主访问路径被阻断，他们仍能持续控制受感染设备，形成双重保险，手段极为狡猾。

值得警惕的是，近年来黑客愈发倾向于滥用这类合法远程控制工具。由于这些工具本身具备企业级远程管理功能，极易绕过传统安全检测机制，从而实现长期潜伏与持续控制。对于企业用户而言，加强安全监控刻不容缓——应重点关注异常远程管理工具的安装行为、可疑的 Teams 共享链接，以及未经授权的软件部署行为。只有严密监控这些细节，才能有效降低此类攻击的风险。