事件背景与观察
近期，网络安全领域出现了一个值得警惕的趋势：攻击者开始大规模滥用 AI 工作流自动化平台 n8n。n8n 本是一款旨在提升企业生产力的低代码工具，却因其“合法”的身份和强大的自动化能力，成为了黑客绕过传统安全防御的新型跳板。
从我们的应急响应经验来看，这种利用合法 SaaS 及生产力平台进行攻击的手法正在迅速演变。攻击者不再依赖易被识别的恶意域名，而是利用 n8n 的 Webhook 功能，将钓鱼流量伪装在可信的域名之下，从而极大提高了防御的门槛。
攻击链深度解析
在近期监测到的攻击案例中，攻击者构建了一套精密的自动化钓鱼链路。首先，攻击者利用 n8n 的 Webhook 功能生成看似合法的链接，并将其植入伪装成 Microsoft OneDrive 共享文档的钓鱼邮件中。
这一环节是很多企业容易忽视的：当用户点击链接后，浏览器访问的是 n8n 的合法域名，这使得传统的 URL 过滤设备往往会放行流量。为了进一步增强欺骗性，攻击者在页面中加入了 CAPTCHA（验证码）校验步骤。这不仅能够筛选出自动化扫描器，还能让用户产生“该平台是正规服务”的心理预设。在用户通过验证后，系统会自动触发恶意载荷的下载，且下载行为被封装在 HTML 的 JavaScript 中，使得浏览器认为下载源依然来自 n8n。
技术手法透视
攻击者在 n8n 平台上部署的自动化工作流不仅限于钓鱼，还涵盖了恶意软件的投递与设备指纹收集：
首先是恶意软件的隐蔽投递。攻击者利用 MSI 安装包或可执行文件，在后台静默部署远程管理工具（RMM），如 Datto RMM 或 ITarian RMM。这些工具被篡改为后门程序，不仅能实现长期的持久化控制，还能执行远程命令并进行数据窃取。为了掩盖行踪，攻击者通常会配置计划任务，并在任务完成后自动删除原始载荷，清理痕迹。
其次是设备指纹收集。攻击者在钓鱼邮件中嵌入不可见的追踪图像，一旦邮件被打开，便会触发指向 n8n Webhook 的请求。这些请求中包含了受害者的设备信息和唯一标识符。通过这种方式，攻击者可以精准确认目标是否活跃，并筛选出高价值的攻击目标。
Solar 安全建议
类似攻击近年来明显增加，面对这种利用合法平台进行的“隐形攻击”，我们建议企业采取以下防护措施：
第一，加强对生产力平台访问的审计。虽然 n8n 等工具在企业内部广泛应用，但对于员工访问此类平台的行为，应进行更细粒度的流量分析，而非简单的“白名单放行”。
第二，强化终端侧的威胁检测。既然攻击者最终会落地恶意后门或 RMM 工具，那么终端安全防护（EDR）就显得至关重要。重点排查非授权的计划任务创建、异常的 PowerShell 调用以及未经许可的远程管理工具行为。
第三，提升员工安全意识。针对伪装成 OneDrive 等常用办公协作平台的钓鱼邮件，应提醒员工核实发件人信息，并警惕任何要求在下载前进行“验证码校验”的外部链接。
安全不仅是技术的对抗，更是对业务流程中每一个环节的审视。自动化工具是一把双刃剑，我们需要在享受效率红利的同时，时刻警惕其被滥用的风险。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com