幕後真相：RMM濫用案例研究

漏洞剖析：揭露影子 RMM 中的 Backstage Shell

儘管人工智慧持續佔據網路安全出版物與會議議程的頭條，但實際情況卻截然不同。當防禦者競相建立機器學習模型與自主防禦系統時，威脅行為者正悄悄地利用如 Backstage Shell 這種傳統且具高度規避性的技術，策劃毀滅性的攻擊。

近期的營運數據凸顯了一個殘酷的事實：傳統的攻擊媒介並未消失，反而變得更加隱蔽與複雜。如今最具破壞性的勒索軟體事件，依然是受到未受管的資產、憑證遭竊、登錄檔漏洞利用，以及合法遠端監控與管理 (RMM) 工具武器化所推動。

本案例研究剖析了一起嚴重的入侵事件，並發出強烈提醒：即使在 AI 驅動的世界中，保護核心基礎架構仍是我們最重要的一道防線。

作者註：特定名稱、檔案路徑與相關資產已經過遮蔽以保護受害者。然而，入侵指標 (IoC) 仍反映了事件中的確切數據。

事件概述與威脅形勢

在最近一次的事件回應行動中，我們的託管偵測與回應 (MDR) 團隊成功攔截並消除了一起針對企業 Active Directory 環境 (VICTIM.local) 且組織嚴密的多階段攻擊。

該攻擊在數天內展開，始於一個帶有簽章的廣告軟體下載器。隨後迅速升級為全面的網域接管，透過遭濫用的 RMM 軟體實現隱蔽的持續性，最終以針對組織關鍵專案與 CAD 儲存共用 (D:\DATA_SHARES\) 的大規模勒索軟體部署告終。

在選擇安全方案前需要專家指導嗎？

直接與專家對話。免填表單，無需等待，也不需要 Slack 帳號。

核心事件亮點

  • 透過帶有簽章的下載器規避偵測： 攻擊者透過投放一個由認可機構 (ASK.COM) 合法簽署的執行檔 (ApnStub.exe)，繞過了靜態特徵碼與初始瀏覽器防護。
  • Syskey 擷取與雜湊解密： 攻擊者利用網路上無代理程式的未受管裝置，查詢了次要網域控制站 (DC-02) 上的登錄檔機密 (HKLM\SYSTEM\...\Lsa)。這使他們得以重建 16 位元組的 Syskey，並攻陷主要網域管理員帳戶 (ADM_DOMAIN)。
  • 隱蔽的 RMM 濫用： 攻擊者利用 ConnectWise ScreenConnect 的 Backstage 模式 (ScreenConnect.WindowsBackstageShell.exe) 保持深度的持續性。它在次要桌面工作階段中隱形運行 (hasVisibleWindow: false)，部署了系統級鍵盤掛鉤 (SetWindowsHookEx)，最終觸發了 EDR 對隱蔽鍵盤側錄的警報。
  • 未受管資產的盲點： 關鍵在於，大規模 SMB 加密與跨網路指令完全是由處於組織 EDR 覆蓋範圍之外的惡意未受管 IP 位址 (10.10.10.177 與 10.10.10.158) 所執行的。

入侵時間軸

注意：為了保護隱私，日期與時間戳記已進行修改，但順序與確切間隔保持不變。

日期與時間 (UTC)攻擊階段目標 / 情境技術摘要
2026 年 5 月 12 日 – 00:05:00初始入侵WKSTN-P01 (10.10.10.29)
VICTIM\user_alpha		零號病人： 在使用者的 Documents 資料夾中執行帶有簽章的 ApnStub.exe 下載器。
2026 年 5 月 15 日 – 08:11:26憑證存取DC-02 (10.10.10.11)
VICTIM\adm_local		登錄檔查詢： 未受管節點 (10.10.10.177) 對 DC-02 的 LSA 結構發起遠端 RPC 查詢，以擷取 Syskey 主要金鑰。
2026 年 5 月 15 日 – 08:57:53橫向移動HYPERV-01 (10.10.10.166)
NT AUTHORITY\SYSTEM		互動式 WinRM： 攻擊者透過 wsmprovhost.exe 利用已攻陷的 ADM_DOMAIN 憑證，強制在整個網域內啟用 RDP。
2026 年 5 月 15 日 – 17:09:00偵察DC-01 (10.10.10.20)
VICTIM\adm_domain		網路掃描： 在 DC-01 上執行 ipscan24.exe 以映射 /24 子網路並找出 SMB 共用。
2026 年 5 月 16 日 – 11:17:55有效負載暫存DC-01 (10.10.10.20)
VICTIM\adm_domain		執行嘗試： EDR 成功標記並阻擋了早期的未簽署勒索軟體暫存檔案。
2026 年 5 月 16 日 – 13:43:43網路探索WKSTN-P01 (10.10.10.29)
VICTIM\user_alpha		目錄探測： 從 WKSTN-P01 向 DC-01 (10.10.10.62) 發起 LDAP 查詢與 SMB 檢查。
2026 年 5 月 16 日 – 13:48:33持續性 / 規避WKSTN-P01 (10.10.10.29)
NT AUTHORITY\SYSTEM		Backstage 掛鉤： ScreenConnect.WindowsBackstageShell.exe 連線至遠端 C2 中繼並安裝全域鍵盤掛鉤。
2026 年 5 月 16 日 – 13:48:34憑證存取WKSTN-P01 (10.10.10.29)
NT AUTHORITY\SYSTEM		LSASS 控制代碼： Backstage 處理程序請求針對 lsass.exe 與 lsaiso.exe (Credential Guard) 的控制代碼。
2026 年 5 月 16 日 – 14:32:03本機影響WKSTN-P01 (10.10.10.29)
VICTIM\adm_domain		勒索勒索訊息： akira_readme.txt 被放置在次要使用者的本機資料夾中。
2026 年 5 月 16 日 – 14:32:43大規模加密12 個受管資產
VICTIM\adm_domain		Akira 爆發： 從未受管節點 (10.10.10.158) 發起大規模 SMB 加密，目標為關鍵儲存共用。

技術深度剖析與鑑識分析

零號病人與初始入侵 (WKSTN-P01)

漏洞源於工作站 WKSTN-P01 (10.10.10.29)。遙測數據暴露了 Ask Partner Network 安裝程式存根的執行：

  • 路徑： \Device\HarddiskVolume3\Users\user_alpha\Documents\ApnStub.exe
  • 簽章狀態： 有效數位簽章 (ASK.COM)

對手經常利用帶有簽章的廣告軟體或綑綁的軟體存根來溜過邊界防禦。雖然 ApnStub.exe 本身並非惡意軟體，但它的存在使威脅行為者得以取得低權限的立足點，並開始收集本機憑證。

Syskey 查詢與主要金鑰擷取 (DC-02)

到了 5 月 15 日，攻擊者已將權限提升至網域等級。他們使用已遭攻陷的本機憑證 (VICTIM\adm_local)，從惡意 IP (10.10.10.177) 針對網域控制站 DC-02 發起遠端 RPC 查詢。

Syskey 的作用： 在 Windows 環境中，安全帳戶管理員 (SAM) 與 NTDS.dit 內的密碼雜湊是使用位於 HKLM\SYSTEM\CurrentControlSet\Control\Lsa 的啟動金鑰 (Syskey) 進行加密的。如果沒有此金鑰，就無法離線擷取雜湊。攻擊者部署了一個自訂公用程式來查詢特定的 LSA 值 (JD、Skew1、GBG 與 Data)，成功組合出 16 位元組的 Syskey。這直接導致網域雜湊遭離線解密，並攻陷了 VICTIM\adm_domain。

規避式持續性：ScreenConnect Backstage Shell

為了確保具有韌性的存取，攻擊者劫持了受害者合法的 ConnectWise ScreenConnect 安裝。5 月 16 日，該服務衍生了 ScreenConnect.WindowsBackstageShell.exe。

為何 EDR 捕捉到了鍵盤側錄程式： ScreenConnect 的 “Backstage” 功能允許 IT 人員在活動使用者工作階段背後操作終端，且不會渲染 UI 元素。為了擷取實體按鍵輸入並將其路由至這個隱形的終端 (hasVisibleWindow: false)，該軟體以 NT AUTHORITY\SYSTEM 身分使用 SetWindowsHookEx (WH_KEYBOARD_LL)。由於這會從隱藏的環境中全域擷取原始按鍵輸入，現代 EDR 平台會正確地將其識別為低階鍵盤側錄程式。這並非誤報，而是準確偵測到合法工具正被主動武器化。

記憶體鑑識與處理程序樹分析

重建零號病人上的記憶體偽影，闡明了攻擊者實現隱蔽性的方法：

  • Session 0 執行： Backstage Shell 由代理程式服務直接在非互動式的 Session 0 環境中衍生。
  • 隱藏桌面： 在沒有可見視窗的情況下運作，使攻擊者能完全在不被本機使用者察覺的情況下執行互動式命令列工作階段 (CMD/PowerShell)。
  • LSASS 探測： 記憶體鑑識顯示，在初始化期間，Backstage Shell 請求了 lsass.exe 與 lsaiso.exe 的處理程序控制代碼 (OpenProcess)，從而觸發了高保真度的憑證存取警報。

入侵指標 (IoC)

調查期間發現的密碼雜湊、工具與偽影詳列如下：

二進位檔 / 工具名稱SHA256 雜湊簽章狀態描述
Akira 勒索軟體有效負載bd10283d8c96e8640b37ad688d63f35107f5dc90443ad9dcc5d53c146a49c533未簽署 / 惡意透過 SMB 部署的主要 Akira 加密執行檔。
ApnStub.exe1f1a74c990abd0c4169a7e3e13f1563f5c4b1edd7abf305cbba515544197847b已簽署 (ASK.COM)用於初始入侵的廣告軟體存根。
ipscan24.exe4179e299c24a130f3c567ddbbfe1835064a3497e8c2a1971aaba597794e8c14d未簽署 / 駭客工具用於子網路探索的可攜式網路掃描器。
advanced_ip_scanner.exebcad517cb5f49dcd28e60f6e70abf7e5f60104b78eac672da10de5a063ac1174兩用工具在偵察期間部署的次要網路掃描器。
Syskey 擷取公用程式43fc3019e826a9ea0601a65126e48a31d12ade9313521c7ec137daa88f1d77d8惡意公用程式用於從 LSA 機密中組合啟動金鑰的自訂二進位檔。
host-isolation.dll無 (未簽署 DLL)未簽署 / 注入的 DLL旁載入至代理程式處理程序空間的未簽署 DLL。

總結回顧

本事件回應分析重點介紹了快速移動的 Akira 勒索軟體部署的機制。在由帶有簽章的廣告軟體下載器觸發後，攻擊者利用未受管的裝置對網域控制站執行 LSA 查詢，有效擷取 Syskey 以取得網域管理員權限。為了確保深度的持續性，威脅行為者武器化了現有 RMM 工具的 Backstage Shell，利用全域 Windows 掛鉤默默地從 Session 0 記錄活動。

參考資料與進階閱讀

  • Akira 勒索軟體： CISA 網路安全建議 (AA24-109A) – 戰術、技術與程序。
  • SentinelOne： 關於復原與 VSS 還原機制的技術簡報。
  • Microsoft 技術文件： Active Directory 樹系復原 (krbtgt 重設)、LSA 機密與 Syskey 結構，以及 SetWindowsHookExW API 動態。
  • Guardz 平台： AI 原生安全平台與 24/7 MDR 架構概述。
  • Guardz 研究： 安全研究實驗室 (GitHub) 以及涵蓋針對 SMB 與 MSP 威脅的網路研究部落格。

關於 Guardz
Guardz 為管理服務提供商 (MSP) 和 IT 專業人士提供一個人工智能驅動的網絡安全平台，專門設計來保護小型企業免受網絡攻擊。我們的統一檢測與響應平台能夠全面保護用戶、電子郵件、設備、雲端目錄和數據。透過簡化網絡安全管理，我們讓企業能夠專注於發展業務，同時減少安全管理的複雜性。Guardz 結合強大的網絡安全技術和豐富的專業知識，確保安全措施持續受到監控、管理和改進，預防未來的攻擊並降低風險。

關於 Version 2 Digital
Version 2 Digital 是亞洲最有活力的IT公司之一，公司發展及代理各種不同的互聯網、資訊科技、多媒體產品，其中包括通訊系統、安全、網絡、多媒體及消費市場產品。透過公司龐大的網絡、銷售點、分銷商及合作夥伴，Version 2 Digital 提供廣被市場讚賞的產品及服務。Version 2 Digital 的銷售網絡包括中國大陸、香港、澳門、台灣、新加坡等地區，客戶來自各行各業，包括全球1000大跨國企業、上市公司、公用機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。