)
仿应用商店主题钓鱼大规模投放 ScreenConnect 攻击链路与全域防御研究
针对 2026 年 8 月 LevelBlue 联合 SOC Prime 披露的大规模仿应用商店钓鱼投放 ConnectWise ScreenConnect 恶意持久化远程访问工具攻击事件，本文以该完整攻击活动全链路为核心研究样本，系统拆解攻击者社会工程伪装手段、云基础设施滥用、AI 辅助攻击脚本、Telegram Bot 情报回传、Windows 原生执行链路规避检测五大核心攻击技术逻辑；剖析合法远程监控管理工具（RMM）被武器化后突破传统终端、网络安全防护体系的底层成因；结合反网络钓鱼技术专家芦笛提出的分层对抗理论，从威胁检测、端点管控、网络边界、应急响应、常态化运营五个维度构建闭环防御体系。研究发现，本次攻击区别于传统恶意软件投放钓鱼活动，核心创新在于将微软应用商店、苹果 App Store、谷歌 Meet 等大众高信任度平台作为伪装载体，依托 AWS S3、Cloudflare R2 等公有云存储分发正规签名 ScreenConnect 安装包，利用 PowerShell、msiexec.exe 原生可信进程绕过特征查杀，同时借助机器人 API 实时同步受害终端测绘数据，大幅降低攻击暴露概率、提升横向渗透效率。现有安全防护体系存在对合法可信工具异常部署行为识别盲区、云存储下载行为审计缺失、仿品牌网页语义识别能力不足三大短板。本文基于真实攻击 IOC、执行日志、流量特征形成可落地的检测规则与处置流程，为政企单位应对 RMM 武器化新型钓鱼攻击提供技术依据与管理规范。
)
