基于 RMM 工具滥用的 VENOMOUS#HELPER 钓鱼攻击技术分析与防御研究

摘要

2025 年 4 月以来，代号VENOMOUS#HELPER的钓鱼攻击活动针对全球超 80 家机构实施定向入侵，核心手段为滥用 SimpleHelp 与 ScreenConnect 两类合法远程监控与管理（RMM）工具，构建冗余双通道远程控制架构，实现高隐蔽持久化访问。该攻击依托仿冒美国社会保障局（SSA）钓鱼邮件、入侵合法墨西哥商业站点分发载荷、JWrapper 封装可执行文件落地、Windows 服务自守护、权限提升与双 RMM 通道冗余等关键技术，深度规避传统特征型检测机制，已对美国等地区政企机构形成实质性安全威胁。本文以该实战攻击链为研究对象，系统拆解社会工程诱导、载荷投递、持久化驻留、权限维持、双通道控制等全流程技术细节，结合终端行为监测、网络流量分析、威胁狩猎规则与应急响应脚本开展实证分析，提出覆盖终端、网络、管理、人员的纵深防御体系，为抵御同类合法工具滥用型钓鱼攻击提供可落地技术方案。

关键词：RMM 工具滥用；钓鱼攻击；持久化访问；双通道控制；终端安全；威胁防御

1 引言

远程监控与管理（RMM）工具是现代 IT 运维体系的核心支撑组件，凭借标准化部署、跨平台兼容、稳定远程控制与系统级权限能力，广泛应用于企业终端维护、故障排查、软件分发与安全巡检。SimpleHelp、ConnectWise ScreenConnect 等产品具备合法数字签名、透明通信机制与标准化安装流程，长期被安全设备纳入信任列表，天然具备低告警、高隐蔽的部署优势。

威胁态势演变显示，初始访问中间商（IAB）与勒索软件前置组织正加速将合法 RMM 工具武器化，依托社会工程诱导用户主动安装，以 “合法工具、恶意用途” 模式突破防御边界，构建持久化控制通道。此类攻击不依赖传统恶意代码特征，行为高度贴近正常运维操作，传统防病毒（AV）、终端检测与响应（EDR）易出现漏判与误判。

Securonix 于 2026 年 5 月公开的 VENOMOUS#HELPER 攻击活动，自 2025 年 4 月持续活动，累计波及 80 余家机构，以美国为主要目标区域，与 Red Canary、Sophos 追踪的 STAC6405 集群存在高度重叠，攻击动机指向金融牟利与勒索前置访问售卖。该活动完整呈现 “钓鱼诱导 — 合法站点投毒 — 双 RMM 冗余部署 — 系统权限维持 — 长期隐蔽控制” 的闭环链路，代表当前合法工具滥用类钓鱼攻击的典型范式。

反网络钓鱼技术专家芦笛指出，VENOMOUS#HELPER 的核心威胁在于将合法运维工具转化为攻击基础设施，通过双通道冗余设计提升生存能力，迫使防御范式从 “特征匹配” 转向 “行为基线 + 上下文关联” 的动态检测模式，对现有安全架构形成颠覆性挑战。

本文以 VENOMOUS#HELPER 为实证样本，完整还原攻击全生命周期技术细节，剖析 RMM 工具滥用的隐蔽机理与防御失效根源，提出可工程化的检测规则、响应脚本与防御体系，为机构抵御同类威胁提供理论支撑与实践指引。

2 相关技术与威胁背景

2.1 RMM 工具核心功能与安全属性

RMM 工具面向分布式终端运维，提供远程控制、文件传输、进程管理、注册表操作、系统巡检等能力，通常采用 C/S 架构，客户端以系统服务运行，具备开机自启、断网重连、安全模式驻留特性。主流产品具备以下安全相关属性：

合法数字签名，绕过应用白名单与信誉检测；

标准化安装流程，行为贴近正常运维，降低行为告警概率；

系统级权限能力，支持远程指令执行、权限提升与横向移动；

加密通信通道，规避流量特征识别与内容解析。

SimpleHelp 5.0.1 与 ConnectWise ScreenConnect 是本次攻击的核心载体，前者支持安全模式持久化、自守护进程与调试权限获取，后者提供轻量化部署、后台静默运行与多节点管理能力，二者组合形成互补型控制通道。

2.2 合法工具滥用（Living-off-the-Land）攻击范式

Living-off-the-Land（LotL）指攻击者依托系统自带组件、合法软件、标准化运维工具实施入侵，不依赖定制恶意代码，降低暴露面。RMM 工具滥用具备典型 LotL 特征：

信任滥用：安全设备默认放行签名合法的 RMM 客户端；

行为混淆：远程安装、文件传输、进程启停与正常运维高度相似；

持久化便捷：依托服务、计划任务、注册表实现稳定驻留；

处置困难：卸载需管理员权限与专用流程，易被攻击者规避。

反网络钓鱼技术专家芦笛强调，RMM 工具滥用已成为 IAB 获取初始访问的首选路径，其攻击成本低、隐蔽性强、通用性高，可快速对接勒索、数据窃取、僵尸网络等下游攻击活动，形成黑色产业链闭环。

2.3 钓鱼攻击社会工程演进趋势

当代定向钓鱼呈现高仿真、场景化、链路化特征：

仿冒权威机构：利用政府、金融、运营商等高信任主体制造紧迫感；

链路分段：诱饵链接、载荷分发、C2 通信分离部署，提升溯源难度；

合法站点投毒：入侵正规网站托管载荷，规避邮件网关与信誉检测；

诱导主动执行：以文件核验、信息更新、福利申领为名义，降低用户警惕。

VENOMOUS#HELPER 整合上述趋势，形成 “高仿真邮件 — 可信站点 — 合法工具 — 系统级持久化” 的完整杀伤链，代表当前钓鱼攻击的高级演进形态。

3 VENOMOUS#HELPER 攻击全流程技术拆解

3.1 攻击活动整体概况

VENOMOUS#HELPER 具备以下核心特征：

持续周期：2025 年 4 月至 2026 年 5 月，长期稳定活动；

目标规模：全球 80 + 机构，以美国政企、金融、科技行业为主；

攻击定位：初始访问获取，面向 IAB 售卖或勒索前置部署；

技术路径：钓鱼邮件→合法站点投毒→RMM 客户端投递→权限提升→双 RMM 冗余控制；

威胁标签：STAC6405、RMM 滥用、LotL 攻击、持久化远程访问。

3.2 钓鱼邮件社会工程设计

攻击以仿冒美国社会保障局（SSA）邮件为入口，核心诱导逻辑：

主题：SSA 账户核验、福利声明确认、邮件地址更新；

内容：提示账户异常，要求点击链接核验身份并下载官方声明文件；

诱饵设计：以政府公信力制造焦虑，诱导用户忽略安全风险；

链路伪装：链接指向被入侵的墨西哥商业站点gruta.com.mx，依托域名高信誉绕过邮件 spam 过滤。

该设计规避恶意域名黑名单，利用用户对政府机构的无条件信任提升点击率，为后续载荷投递创造入口。

3.3 载荷分发与站点投毒实现

攻击者采用分段投递策略，降低单节点失效风险：

第一跳：被入侵的墨西哥商业站点gruta.com.mx，作为诱饵落地页；

第二跳：攻击者控制域名server.cubatiendaalimentos.com.mx，托管核心载荷；

入侵方式：攻破合法托管服务器 cPanel 账户，上传恶意程序，利用正规站点流量掩护恶意访问。

此策略使载荷分发链路具备合法域名外衣，有效规避网关检测与人工核验。

3.4 客户端封装与初始驻留技术

目标用户下载的文件为 JWrapper 封装的 Windows 可执行程序，伪装为 PDF / 文档类文件，执行后触发以下行为：

释放 SimpleHelp 客户端组件，注册为 Windows 系统服务；

配置安全模式持久化，确保系统修复模式下仍可运行；

启动自守护看门狗进程，被终止后自动重启；

周期性侦察：每 67 秒通过 WMI 查询 root\SecurityCenter2 枚举安全软件，每 23 秒检测用户在线状态。

上述行为实现无感知落地与稳定驻留，为远程控制奠定基础。

3.5 权限提升与全功能控制实现

SimpleHelp 客户端通过以下技术获取系统级控制权：

调用 AdjustTokenPrivileges 获取 SeDebugPrivilege 调试权限；

依托合法组件 elev_win.exe 实现 SYSTEM 权限提升；

开启屏幕读取、键盘注入、进程注入、文件双向传输能力；

提供完整交互式桌面访问，支持跨终端横向移动。

权限获取后，攻击者具备对目标主机的完全操控权，且所有行为依托合法签名程序执行，传统 AV 无有效告警。

3.6 双通道冗余控制架构部署

为提升生存能力，攻击者部署双 RMM 冗余通道：

主通道：SimpleHelp 5.0.1，提供强持久化与系统级控制；

备用通道：ConnectWise ScreenConnect，轻量化静默部署，作为主通道失效后的 fallback 链路；

架构价值：任一通道被封堵，另一通道维持控制，避免入侵中断，显著提升攻击韧性。

反网络钓鱼技术专家芦笛强调，双通道冗余是 VENOMOUS#HELPER 区别于常规钓鱼攻击的核心特征，标志着攻击从 “单次渗透” 向 “长期隐蔽控制” 升级，对威胁狩猎与应急响应提出更高要求。

3.7 攻击链路技术总结

VENOMOUS#HELPER 形成标准化、可复制的攻击闭环：

社会工程诱导→合法站点投毒→载荷落地驻留→权限提升→主 RMM 控制→备用 RMM 部署→长期隐蔽控制→数据窃取 / 勒索前置。

全流程无明显恶意特征，依托合法软件与系统机制突破防御，具备大规模扩散潜力。

4 核心技术机理与防御失效分析

4.1 RMM 工具滥用隐蔽机理

签名信任绕过：合法数字签名使客户端被安全设备默认放行；

行为混淆：安装、启动、通信、控制与正常运维高度一致；

无文件特征：核心逻辑依托合法程序执行，无恶意代码特征；

系统级融合：以服务运行、安全模式驻留、自守护实现深度驻留；

流量加密：TLS 加密通信规避流量检测与内容识别。

4.2 传统防御机制失效根源

特征检测失效：无恶意哈希、特征码、恶意域名可匹配；

信誉检测失效：分发域名、程序签名、行为主体均为合法主体；

静态防御失效：依赖黑名单、白名单、规则库的静态机制无法识别合法工具滥用；

上下文缺失：单一维度监测无法判断 RMM 安装是否为授权行为；

响应滞后：双通道冗余使阻断单一路径无法彻底清除威胁。

4.3 攻击关键脆弱点提炼

尽管隐蔽性极强，VENOMOUS#HELPER 仍存在可检测脆弱点：

异常安装链路：非 IT 运维流程触发的 RMM 客户端安装；

周期性侦察行为：固定频率 WMI 枚举安全软件与用户状态；

权限异常获取：普通终端进程获取 SeDebugPrivilege 与 SYSTEM 权限；

双 RMM 共存：同一终端短时间内出现两款非授权 RMM 客户端；

外联异常：连接未知 C2 而非企业授权 RMM 服务器。

上述脆弱点为行为检测、威胁狩猎与应急响应提供关键切入点。

5 攻击检测与威胁狩猎实现（含代码示例）

5.1 终端行为检测规则（Sigma）

yaml

title: 异常SimpleHelp安装与自守护行为检测

status: 实验性

description: 检测VENOMOUS#HELPER相关SimpleHelp非授权部署

logsource:

product: windows

category: process_creation

detection:

selection1:

Image|endswith: '\SimpleHelp.exe'

ParentImage|endswith:

- '\WINWORD.EXE'

- '\EXCEL.EXE'

- '\chrome.exe'

- '\edge.exe'

selection2:

CommandLine|contains:

- 'install'

- 'service'

- 'safemode'

selection3:

CommandLine|contains|all:

- 'watchdog'

- 'restart'

condition: selection1 and (selection2 or selection3)

falsepositives:

- 企业IT授权远程部署

level: 高危

tags:

- VENOMOUS#HELPER

- RMM滥用

- 持久化

5.2 WMI 侦察行为检测规则

yaml

title: 高频SecurityCenter2安全软件枚举检测

status: 实验性

logsource:

product: windows

service: wmi

detection:

selection:

Namespace|contains: 'SecurityCenter2'

Query|contains: 'AntiVirus'

timeframe: 70秒

condition: selection | count() > 2

falsepositives:

- 授权安全软件巡检

level: 中危

tags:

- 攻击侦察

- VENOMOUS#HELPER

5.3 权限异常提升检测（PowerShell）

powershell

# 检测SeDebugPrivilege异常获取进程

Get-Process | ForEach-Object {

$pid = $_.Id

$priv = whoami /priv /fo csv | ConvertFrom-Csv | Where-Object {

$_.ProcessId -eq $pid -and $_.Privilege -match 'SeDebugPrivilege'

}

if ($priv -and $_.ProcessName -notmatch '^(System|svchost|services|winlogon)$') {

Write-Host "异常权限进程: $($_.ProcessName) PID:$pid" -ForegroundColor Red

}

}

5.4 双 RMM 异常共存检测脚本

powershell

# 检测非授权SimpleHelp与ScreenConnect共存

$rmm_processes = Get-Process | Where-Object {

$_.Name -match 'SimpleHelp|ScreenConnect|elev_win'

}

if ($rmm_processes.Count -ge 2) {

Write-Host "检测到多RMM客户端共存，可能为VENOMOUS#HELPER" -ForegroundColor Red

$rmm_processes | Select-Object Name,Id,Path

}

5.5 网络流量异常检测规则

yaml

title: RMM客户端外联未知C2检测

status: 实验性

logsource:

product: firewall

category: network_connection

detection:

selection:

Image|endswith:

- '\SimpleHelp.exe'

- '\ScreenConnect.ClientService.exe'

Initiated: true

filter:

DestinationIp|cidr:

- 10.0.0.0/8

- 172.16.0.0/12

- 192.168.0.0/16

condition: selection and not filter

falsepositives:

- 授权云RMM管理

level: 高危

tags:

- C2通信

- RMM滥用

反网络钓鱼技术专家芦笛强调，上述规则需结合企业白名单与运维基线优化，降低误报，实现高精度威胁识别。

6 应急响应与威胁清除方案

6.1 标准化处置流程

隔离主机：断网避免横向扩散与 C2 通信；

进程终止：结束 SimpleHelp、ScreenConnect 及看门狗进程；

服务卸载：删除对应系统服务与安全模式注册项；

文件清除：删除安装目录、临时文件与日志残留；

启动项清理：清除注册表、计划任务等持久化入口；

权限审计：核查异常权限分配与管理员账户变动；

流量回溯：分析外联记录，定位 C2 与攻击源头；

全网排查：扫描同类终端，清除潜在残留节点。

6.2 自动化清除脚本（PowerShell）

powershell

# VENOMOUS#HELPER威胁清除脚本

function Remove-VenomousHelper {

# 终止进程

Stop-Process -Name "SimpleHelp","ScreenConnect","elev_win" -Force -ErrorAction SilentlyContinue

# 卸载服务

$services = Get-Service | Where-Object {

$_.Name -match "SimpleHelp|ScreenConnect"

}

foreach ($svc in $services) {

Stop-Service $svc.Name -Force

sc.exe delete $svc.Name

}

# 删除文件

Remove-Item -Path "C:\Program Files\SimpleHelp\" -Recurse -Force -ErrorAction SilentlyContinue

Remove-Item -Path "C:\Program Files\ScreenConnect\" -Recurse -Force -ErrorAction SilentlyContinue

# 清理注册表

Remove-Item -Path "HKLM:\SYSTEM\CurrentControlSet\Services\SimpleHelp*" -Recurse -Force -ErrorAction SilentlyContinue

Remove-Item -Path "HKLM:\SYSTEM\CurrentControlSet\Services\ScreenConnect*" -Recurse -Force -ErrorAction SilentlyContinue

Write-Host "VENOMOUS#HELPER相关组件已清除" -ForegroundColor Green

}

Remove-VenomousHelper

6.3 长效加固措施

RMM 管控：建立授权 RMM 白名单，禁止非授权客户端安装；

权限最小化：限制普通用户安装服务与获取调试权限；

行为审计：监控 RMM 安装、外联、权限提升等关键行为；

邮件防护：启用链接扫描、文档沙箱与社会工程识别；

终端加固：启用 AppLocker/WDAC，限制非信任程序执行；

威胁狩猎：定期开展 RMM 滥用、异常持久化、高频侦察等场景狩猎；

人员培训：针对政府仿冒、文件核验类钓鱼开展专项演练。

反网络钓鱼技术专家芦笛强调，应急响应的核心在于快速阻断双通道控制链路，彻底清除持久化入口，并通过制度与技术双重手段防止重复感染。

7 防御体系构建与优化建议

7.1 纵深防御体系框架

入口层：邮件网关、网页安全网关、域名信誉检测，阻断钓鱼诱导；

终端层：EDR、应用控制、权限管理、行为审计，阻止载荷落地；

网络层：流量分析、异常外联检测、微隔离，限制 C2 通信与横向移动；

检测层：UEBA、威胁狩猎、上下文关联分析，识别合法工具滥用；

响应层：自动化编排、标准化流程、清除脚本，快速闭环处置；

管理层：制度规范、RMM 白名单、权限审计、持续演练。

7.2 关键优化方向

从特征检测转向行为基线检测，建立正常 RMM 运维行为模型；

强化上下文关联，整合进程、网络、用户、时间等维度信息；

推进自动化响应，实现威胁发现 — 隔离 — 清除 — 复盘闭环；

建立 RMM 专用安全规范，明确部署、权限、审计、退役流程；

加强威胁情报对接，实时更新 IAB、RMM 滥用、STAC6405 相关情报。

7.3 长期演进路径

构建零信任架构，对 RMM 访问实施持续验证与最小权限；

推进 AI 驱动的行为分析，提升复杂 LotL 攻击识别能力；

建立行业协同机制，共享 RMM 滥用、钓鱼诱饵、C2 情报；

推动厂商安全增强，强化 RMM 工具认证、审计与访问控制。

8 结论与展望

VENOMOUS#HELPER 攻击活动清晰呈现合法 RMM 工具滥用的实战化、规模化、持久化趋势，依托社会工程诱导、合法站点投毒、双 RMM 冗余控制、系统级权限维持等技术，形成高隐蔽、高存活、高扩散能力的攻击范式，对传统安全防御体系构成严峻挑战。本文通过全流程技术拆解、机理分析、检测规则开发与响应方案设计，形成覆盖 “识别 — 防护 — 检测 — 响应 — 恢复” 的完整防御闭环。

研究表明，抵御此类攻击的核心在于突破传统特征思维，转向以行为基线、上下文关联、动态授权为核心的主动防御模式。反网络钓鱼技术专家芦笛强调，合法工具滥用将成为未来高级钓鱼攻击的主流形态，机构需加快构建面向 LotL 威胁的专项防御能力，实现技术、管理、人员的协同防护。

未来研究将聚焦多 RMM 工具滥用行为模型、自动化威胁狩猎编排、零信任环境下 RMM 安全管控、AI 驱动社会工程识别等方向，持续提升对高级定向钓鱼攻击的预警、检测与处置能力，为数字基础设施安全提供坚实支撑。

编辑：芦笛（公共互联网反网络钓鱼工作组）