幕後真相：RMM濫用案例研究

漏洞剖析：揭露影子 RMM 中的 Backstage Shell

儘管人工智慧持續佔據網路安全出版物與會議議程的頭條，但實際情況卻截然不同。當防禦者競相建立機器學習模型與自主防禦系統時，威脅行為者正悄悄地利用如 Backstage Shell 這種傳統且具高度規避性的技術，策劃毀滅性的攻擊。

近期的營運數據凸顯了一個殘酷的事實：傳統的攻擊媒介並未消失，反而變得更加隱蔽與複雜。如今最具破壞性的勒索軟體事件，依然是受到未受管的資產、憑證遭竊、登錄檔漏洞利用，以及合法遠端監控與管理 (RMM) 工具武器化所推動。

本案例研究剖析了一起嚴重的入侵事件，並發出強烈提醒：即使在 AI 驅動的世界中，保護核心基礎架構仍是我們最重要的一道防線。

事件概述與威脅形勢

在最近一次的事件回應行動中，我們的託管偵測與回應 (MDR) 團隊成功攔截並消除了一起針對企業 Active Directory 環境 (VICTIM.local) 且組織嚴密的多階段攻擊。

該攻擊在數天內展開，始於一個帶有簽章的廣告軟體下載器。隨後迅速升級為全面的網域接管，透過遭濫用的 RMM 軟體實現隱蔽的持續性，最終以針對組織關鍵專案與 CAD 儲存共用 (D:\DATA_SHARES\) 的大規模勒索軟體部署告終。

核心事件亮點

• 透過帶有簽章的下載器規避偵測： 攻擊者透過投放一個由認可機構 (ASK.COM) 合法簽署的執行檔 (ApnStub.exe)，繞過了靜態特徵碼與初始瀏覽器防護。
• Syskey 擷取與雜湊解密： 攻擊者利用網路上無代理程式的未受管裝置，查詢了次要網域控制站 (DC-02) 上的登錄檔機密 (HKLM\SYSTEM\...\Lsa)。這使他們得以重建 16 位元組的 Syskey，並攻陷主要網域管理員帳戶 (ADM_DOMAIN)。
• 隱蔽的 RMM 濫用： 攻擊者利用 ConnectWise ScreenConnect 的 Backstage 模式 (ScreenConnect.WindowsBackstageShell.exe) 保持深度的持續性。它在次要桌面工作階段中隱形運行 (hasVisibleWindow: false)，部署了系統級鍵盤掛鉤 (SetWindowsHookEx)，最終觸發了 EDR 對隱蔽鍵盤側錄的警報。
• 未受管資產的盲點： 關鍵在於，大規模 SMB 加密與跨網路指令完全是由處於組織 EDR 覆蓋範圍之外的惡意未受管 IP 位址 (10.10.10.177 與 10.10.10.158) 所執行的。

入侵時間軸

注意：為了保護隱私，日期與時間戳記已進行修改，但順序與確切間隔保持不變。

技術深度剖析與鑑識分析

零號病人與初始入侵 (WKSTN-P01)

漏洞源於工作站 WKSTN-P01 (10.10.10.29)。遙測數據暴露了 Ask Partner Network 安裝程式存根的執行：

• 路徑： \Device\HarddiskVolume3\Users\user_alpha\Documents\ApnStub.exe
• 簽章狀態： 有效數位簽章 (ASK.COM)

對手經常利用帶有簽章的廣告軟體或綑綁的軟體存根來溜過邊界防禦。雖然 ApnStub.exe 本身並非惡意軟體，但它的存在使威脅行為者得以取得低權限的立足點，並開始收集本機憑證。

Syskey 查詢與主要金鑰擷取 (DC-02)

到了 5 月 15 日，攻擊者已將權限提升至網域等級。他們使用已遭攻陷的本機憑證 (VICTIM\adm_local)，從惡意 IP (10.10.10.177) 針對網域控制站 DC-02 發起遠端 RPC 查詢。

Syskey 的作用： 在 Windows 環境中，安全帳戶管理員 (SAM) 與 NTDS.dit 內的密碼雜湊是使用位於 HKLM\SYSTEM\CurrentControlSet\Control\Lsa 的啟動金鑰 (Syskey) 進行加密的。如果沒有此金鑰，就無法離線擷取雜湊。攻擊者部署了一個自訂公用程式來查詢特定的 LSA 值 (JD、Skew1、GBG 與 Data)，成功組合出 16 位元組的 Syskey。這直接導致網域雜湊遭離線解密，並攻陷了 VICTIM\adm_domain.

規避式持續性：ScreenConnect Backstage Shell

為了確保具有韌性的存取，攻擊者劫持了受害者合法的 ConnectWise ScreenConnect 安裝。5 月 16 日，該服務衍生了 ScreenConnect.WindowsBackstageShell.exe.

為何 EDR 捕捉到了鍵盤側錄程式： ScreenConnect 的 “Backstage” 功能允許 IT 人員在活動使用者工作階段背後操作終端，且不會渲染 UI 元素。為了擷取實體按鍵輸入並將其路由至這個隱形的終端 (hasVisibleWindow: false)，該軟體以 NT AUTHORITY\SYSTEM 身分使用 SetWindowsHookEx (WH_KEYBOARD_LL)。由於這會從隱藏的環境中全域擷取原始按鍵輸入，現代 EDR 平台會正確地將其識別為低階鍵盤側錄程式。這並非誤報，而是準確偵測到合法工具正被主動武器化。

記憶體鑑識與處理程序樹分析

重建零號病人上的記憶體偽影，闡明了攻擊者實現隱蔽性的方法：

• Session 0 執行： Backstage Shell 由代理程式服務直接在非互動式的 Session 0 環境中衍生。
• 隱藏桌面： 在沒有可見視窗的情況下運作，使攻擊者能完全在不被本機使用者察覺的情況下執行互動式命令列工作階段 (CMD/PowerShell)。
• LSASS 探測： 記憶體鑑識顯示，在初始化期間，Backstage Shell 請求了 lsass.exe 與 lsaiso.exe 的處理程序控制代碼 (OpenProcess)，從而觸發了高保真度的憑證存取警報。

入侵指標 (IoC)

調查期間發現的密碼雜湊、工具與偽影詳列如下：

總結回顧

本事件回應分析重點介紹了快速移動的 Akira 勒索軟體部署的機制。在由帶有簽章的廣告軟體下載器觸發後，攻擊者利用未受管的裝置對網域控制站執行 LSA 查詢，有效擷取 Syskey 以取得網域管理員權限。為了確保深度的持續性，威脅行為者武器化了現有 RMM 工具的 Backstage Shell，利用全域 Windows 掛鉤默默地從 Session 0 記錄活動。

參考資料與進階閱讀

• Akira 勒索軟體： CISA 網路安全建議 (AA24-109A) – 戰術、技術與程序。
• SentinelOne： 關於復原與 VSS 還原機制的技術簡報。
• Microsoft 技術文件： Active Directory 樹系復原 (krbtgt 重設)、LSA 機密與 Syskey 結構，以及 SetWindowsHookExW API 動態。
• Guardz 平台： AI 原生安全平台與 24/7 MDR 架構概述。
• Guardz 研究： 安全研究實驗室 (GitHub) 以及涵蓋針對 SMB 與 MSP 威脅的網路研究部落格。