Sophisticated ransomware operations are exploiting the legitimate employee monitoring software Kickidler, transforming it from a workplace oversight tool into a potent espionage platform for deep network infiltration and credential theft.
Cybersecurity experts have recently detailed how affiliates of notorious ransomware groups, including Qilin and Hunters International, deploy Kickidler following initial breaches.
這種濫用使攻擊者可以精心跟踪用戶活動，捕獲擊鍵，記錄屏幕操作，並最終收穫敏感信息對於升級其攻擊至關重要，尤其是針對有價值的VMware ESXI ESXI環境。這些發現是在2025年5月上旬在多個安全新聞媒體所證實的，強調了一個危險的趨勢，即顛覆了可信的內部工具以繞過安全措施。
偽造的下載站點傳播了kickidler
patheration tocialtion tocor nequiation tocition tocition tocition tocitions protigting protition toction toction toction toction toctive toction toction toction toction toction:攻擊者製作惡意網站，例如假rvtools下載網站，並在搜索引擎結果中推廣它們。
一個毫無疑問的管理員下載似乎是合法的IT管理實用程序，例如 smokedham powershell.net backdoor ，後來安裝了kickidler。這種方法特別隱蔽，因為它利用了經常與管理員帳戶相關的高特權。
Kickidler對這些威脅行為者的戰略價值非常重要。 Varonis解釋說，該軟件使攻擊者能夠克服諸如解耦備份系統身份驗證之類的防禦措施:
“ Kickidler通過捕獲擊鍵和網頁從管理員的工作站中捕獲鍵盤和網頁來解決此問題。這使攻擊者能夠識別出偏僻的密碼，並獲得了訪問
攻擊者利用合法的工具來深度網絡訪問
隨後使用常見的IT工具（例如遠程桌面協議（RDP）（RDP）和
橫跨受害者網絡的橫向移動href=“ https://learn.microsoft.com/en-us/sysinternals/downloads/psexec” target=“ _ blank”> psexec
href=“ https://www.synacktiv.com/en/publications/case-study-how-how-hood-hunters-international-and-and-and-and-and-m-friends-target-target-your-hypervisors“ target=“ _ black”> synacktiv的研究，眾所周知，在2025年3月5日早些時候發布了一個非常聰明的人。技術和程序（TTP）。據報導，該國際獵人國際（Hunters International）在2023年10月左右從拆除的Hive Ransomware Group獲得資產後，使用了Trojanized Rvtools安裝程序來提供Smokedham後門。 Synacktiv將Smokedham鏈接到 unc2465威脅性參與者，與先前與鎖定的lockbit和darkside Ransomware Protifations to to to to in/proctortions to to in/proctorry to toe toe to in/proctorry toe toe。 Synacktiv作為“ grabber”，並通過`grem.msi’安裝了數週以監視管理員。 SynackTiv研究人員強調了這種方法的新穎性，並指出:“這是我們第一次看到攻擊者使用的合法工具。” 2024年8月在2024年8月通過 VMware ESXI管理程序的妥協是這些攻擊者的主要目標。 SynackTiv詳細介紹了利用VMware PowerCli和 winscp automation ）基於Rust rust Esxi Esxi Encryptor。 ESXI主機，然後使用WINSCP傳輸和執行勒索軟件。關鍵步驟涉及禁用ESXI的完整性檢查可執行文件。 lansomware本身俱有終端用戶界面，通常設置為延遲執行。
它將停止虛擬機，加密其文件（針對.vmx，.vmdk，.vmsn），然後嘗試超出填充空間以縮小恢復。令人震驚的是，這個特定的ESXI加密器沒有在受影響的系統上留下贖金記錄。
監控軟件和防禦姿勢的更大危險
kickidler對kickidler的惡意開發在對工作場所的更廣泛的關注點上，這是對工作場所的廣泛關注。雖然目前的事件涉及外部威脅參與者的主動武器化，但監視軟件的固有風險在偶然的洩漏方面突出了有關工作人員應用程序的意外洩漏。
涉及到超過2100萬名員工屏幕截圖的意外暴露，因為不熟悉的Amazon S3桶不及格，但不受Amazon S3桶的不及格-不需要這些敏感數據的敏感性處理這些工具，因此，這些工具的效果不佳。 WorkComposer自己的條款和條件試圖對這種互聯網安全違反的責任。
濫用合法的遠程監控和管理工具（RMM）工具是由持久的威脅性的，是由CyerSecteity認識的。 A joint advisory from CISA, the NSA, and MS-ISAC in January 2023 specifically warned about attackers deceiving victims into installing安全專家提倡多層“ ” Key recommendations include comprehensive audits of all remote access tools, the implementation of strict application controls to prevent the execution of unauthorized RMM software, the enforcement of policies mandating only approved remote access solutions (such as VPNs or VDIs), and the proactive blocking of inbound and outbound connections on common RMM ports and protocols unless explicitly required for legitimate operations.
Varonis, for實例，強調確保所有七層網絡安全
