重點整理
- 駭客利用合法的遠端監控管理工具偽裝成軟體更新，誘騙員工安裝。
- 雙重 RMM 攻擊讓駭客同時安裝兩套遠端軟體，確保能長期控制電腦。
- 員工應避免點擊郵件中的不明執行檔，並確認軟體來源是否為官方。
- 企業需定期檢查主機與網站安全，避免成為資安破口。
許多中小企業主可能以為，駭客攻擊只發生在大型企業身上。但根據微軟近期的資安警告，駭客現在越來越喜歡利用合法的系統管理工具來進行釣魚攻擊。這意味著，您的員工可能會因為點錯一封看似正常的會議邀請或軟體更新信件，就不小心把控制電腦的權限親手交給駭客。了解這種濫用遠端監控管理的新型態攻擊手法，是保護公司機密與日常營運的第一步。
駭客的新招：用「合法遠端監控管理工具」當偽裝
在這次被微軟點名的攻擊中，駭客鎖定了一種名為 遠端監控管理（Remote Monitoring and Management，簡稱 RMM，讓 IT 人員可以遠端監控與維護電腦的軟體）的工具，特別是 MSP360 這套軟體。
駭客會寄送偽裝成 Zoom 安裝包、PDF 閱讀器更新，甚至是 VIP 電子邀請函的釣魚郵件。這些郵件附帶的安裝檔，其實是經過數位簽名的合法 MSP360 安裝程式，只是被換上了欺騙性的檔名，並存放在 Amazon S3、Dropbox 等合法的雲端空間裡，藉此降低防毒軟體與員工的戒心。
一旦員工點擊並執行這些檔案，安裝程式會要求系統管理員權限，在背景悄悄安裝 MSP360。它還會修改 Windows 防火牆，開放特定的通訊埠，並設定開機自動啟動，讓駭客獲得初步且穩定的遠端控制權限。
雙重 RMM 攻擊：讓駭客進得去、穩穩待著
如果駭客只安裝一套遠端軟體，被企業 IT 發現後移除就沒轍了。因此，這次攻擊採用了「雙重 RMM」的策略，也就是同時安裝兩套遠端監控管理工具。
當 MSP360 成功潛入後，駭客會利用它來執行指令，偷偷下載並安裝另一套名為 ConnectWise ScreenConnect 的遠端存取客戶端。微軟也觀察到，有時駭客會先用另一款名為 Faronics Deploy Agent 的軟體當作敲門磚，再安裝 ScreenConnect。這顯示駭客正在靈活搭配多種 RMM 工具來確保連線。
這種做法有幾個可怕的特點：
- 雙重保險：即使企業發現並移除其中一套軟體，駭客仍能透過另一套軟體保持連線。
- 偽裝成正常 IT 操作：因為這些都是合法的系統管理工具，駭客在傳輸惡意檔案或竊取資料時，看起來就像是一般的遠端維護工作，很難被察覺。
- 降低偵測機會：駭客將惡意行為藏在常規的遠端管理流程中，大幅減少了被防毒軟體或 IT 人員發現的機會。
企業員工該如何辨識與防範？
面對這種將惡意行為藏在合法工具裡的攻擊，單純依賴防毒軟體可能不夠，企業內部的資安意識才是最後一道防線。以下幾個原則是員工必須牢記的：
- 留意奇怪的檔名：如果收到的更新檔案名稱中夾雜了
_rmm_、oid等不尋常的字串，或是副檔名為.exe的執行檔，千萬不要隨意點擊。 - 確認軟體來源：任何軟體更新或安裝，都應該直接到官方網站下載，絕對不要點擊電子郵件中的不明連結或附件。
- 提高警覺：對於突然收到的「VIP 邀請函」或「緊急帳戶聲明」等帶有急迫感或誘惑力的信件，請先向主管或 IT 人員確認。
崴米的建議
資安防護不僅僅是安裝防毒軟體，更需要從源頭建立正確的觀念與定期的檢查機制。針對中小企業，我們建議您可以從以下兩點著手：
- 建立設備與權限盤點：了解公司內有哪些設備需要遠端管理，並嚴格控管 RMM 軟體的安裝權限，避免員工自行安裝未經授權的遠端工具。
- 定期進行網站與主機的安全健檢：除了員工電腦，您的企業官網與後端主機也是駭客鎖定的目標。確保主機環境安全、系統隨時更新，才能避免成為資安破口。您可以考慮將專業的主機維護交給我們，透過網站代管維護與主機監看服務，讓專業團隊幫您顧好後端安全與穩定度。
參考來源：Attackers Abuse MSP360 to Deploy ScreenConnect in Dual-RMM Phishing Attacks
想把這件事交給我們處理？
網站代管維護與主機監看：上線後有人顧：主機代管、憑證、備份、小幅修改，一年一約
