Фишинговые приглашения доставляют установщик ScreenConnect

Фишинговая кампания распространяет троянскую программу удалённого доступа (RAT) через поддельные приглашения на онлайн-мероприятия. Письма выглядят легитимно: в них используют расплывчатые темы и названия мероприятий, а сведений об организаторах почти нет. Такие формулировки подходят для разных социальных ситуаций и побуждают получателей переходить по ссылке из любопытства. Кампания особенно хорошо подходит для периодов, когда распространены приглашения и праздничные мероприятия.

Кнопка в письме предлагает скачать приглашение. Нажатие запускает принудительное скачивание, при этом адрес назначения не отображается. Получатель скачивает ZIP-архив ViewDePartyyinvites, внутри которого находится исполняемый файл ScreenConnect.exe. Это легитимный установщик ConnectWise ScreenConnect, который злоумышленник использовал как инструмент удалённого доступа.

После запуска программа предоставляет злоумышленнику широкие возможности для удалённого управления скомпрометированной системой. Использование доверенного ПО для удалённой поддержки потенциально позволяет обходить обнаружение антивирусными программами. Жертва может не заметить установленное вредоносное ПО, поскольку программа маскируется под приглашение на мероприятие или связанный с ним файл.

После запуска на панели задач появляется небольшой значок. При нажатии на него открываются интерфейс чата и статус подключения. Они указывают, что программа устанавливает или поддерживает связь с хостом злоумышленника. Это даёт злоумышленнику активный канал доступа к устройству, а видимый значок служит основным признаком активного сеанса удалённого доступа.

Кампания в основном опирается на социальную инженерию, обманную доставку файлов и злоупотребление легитимным программным обеспечением, а не на продвинутые методы эксплуатации уязвимостей.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.