黑客滥用微软“快速助手”，展开网络钓鱼攻击活动
内容提要
微软威胁情报团队发现Storm-1811攻击者滥用微软的快速助手应用程序进行社交工程攻击，通过网络钓鱼和电话诱骗用户安装恶意软件，部署Black Basta勒索软件。微软加强警告信息以防止此类诈骗，Black Basta团伙已感染329名受害者，与Conti勒索软件团伙有联系。
延伸解读
合法工具被滥用：攻击门槛降低
Quick Assist 是微软内置的合法远程协助工具，默认安装在 Windows 11 上。攻击者利用其可信性，冒充 IT 支持人员诱骗用户授权访问。这种滥用合法工具的方式降低了攻击门槛，因为无需漏洞利用，只需诱导用户交互。Rapid7 指出，此类攻击自 2024 年 4 月中旬开始，目标涉及制造业、建筑业、食品饮料业、银行业和运输业等多个行业，影响范围广泛。
攻击链剖析：从钓鱼到勒索
Storm-1811 的攻击链结合了社会工程和恶意软件。首先通过电子邮件轰炸（订阅大量合法服务）淹没受害者邮箱，然后冒充 IT 支持人员拨打电话，以解决垃圾邮件问题为由说服用户启动 Quick Assist。获得访问权限后，攻击者运行脚本化 cURL 命令下载恶意载荷，包括 QakBot、Cobalt Strike，最终部署 Black Basta 勒索软件。这种多阶段攻击展示了勒索软件团伙如何整合多种技术以最大化成功率。
Black Basta 的威胁态势与关联
Black Basta 自 2022 年 4 月出现以来，已感染超过 329 名受害者，主要通过双重勒索攻击获取赎金。安全研究人员通过区块链交易分析发现，该团伙与 Conti 勒索软件团伙存在明显联系，后者于 2022 年停止活动，几乎同时 Black Basta 开始活跃。这表明勒索软件生态系统中的团伙可能共享资源或人员，执法和防御需关注其背后的网络。
防御建议：警惕技术支持诈骗
微软正在加强 Quick Assist 的警告信息，以提醒用户可能的技术支持诈骗。用户应警惕未经请求的电话或邮件，尤其是声称来自 IT 支持或安全公司的联系。切勿随意授权远程访问，除非确认对方身份。企业应加强员工安全意识培训，并监控异常远程管理工具的使用。Rapid7 强调，此类攻击破坏力强，影响范围广，需引起重视。
Q&A
Storm-1811攻击者是如何利用微软快速助手进行攻击的？
Storm-1811攻击者通过社交工程攻击，伪装成受信任的联系人，诱骗用户使用快速助手，从而获得对用户设备的访问权限，最终部署Black Basta勒索软件。
Black Basta勒索软件的传播方式是什么？
Black Basta勒索软件通过网络钓鱼、垃圾邮件和电话诱骗用户安装恶意软件，最终在用户设备上部署。
微软对此次攻击采取了哪些防范措施？
微软加强了警告信息，提醒用户注意技术支持诈骗，以防止勒索软件的传播。
Storm-1811攻击者的主要目标是什么？
Storm-1811攻击者的主要目标是用户的Windows和macOS设备，尤其是涉及多个行业的用户。
Black Basta与Conti勒索软件团伙有什么联系？
研究人员发现Black Basta与Conti勒索软件团伙之间存在明显联系，Conti团伙在2022年停止活动后，Black Basta开始活跃。
Storm-1811攻击者的经济动机是什么？
Storm-1811攻击者的经济动机是通过实施勒索软件攻击获取赎金。
