После доступа через ScreenConnect злоумышленники отключали средства защиты

Кампания вредоносной рекламы, активная как минимум с января 2026 года, нацелилась на пользователей из США, которые искали налоговые формы W-2 и W-9. Объявления Google перенаправляли их через домены на налоговую тематику к поддельным установщикам ScreenConnect на 4sync. Исследователи выявили более 60 связанных с кампанией сессий ScreenConnect. Злоумышленники обычно развёртывали несколько пробных или размещённых на собственных серверах ретрансляторов ScreenConnect и FleetDeck, чтобы обеспечить резервирование удалённого доступа.

Маскировка и сбор данных посетителей

Связанная с кампанией поддельная страница обновления Chrome использовала ту же инфраструктуру хостинга, собирала IP-адреса и геолокацию посетителей и отправляла уведомления оператору через Телеграм. В JavaScript-коде страницы нашли комментарии на русском языке, указывающие на разработчика, говорящего по-русски.

Посадочные страницы применяли два уровня маскировки, Adspect и JustCloakIt, чтобы различать реальных пользователей, исследователей, сканеры и автоматизированные системы анализа. Сбор цифрового отпечатка охватывал:

• свойства браузера и объекта navigator;
• сведения о рендерере WebGL;
• размеры экрана;
• состояние встроенного фрейма;
• обнаружение DevTools.

В зависимости от результата проверки инфраструктура могла показывать безвредную страницу, перенаправлять посетителя или проксировать содержимое, загружать встроенный фрейм либо доставлять полезную нагрузку.

Криптер и отключение средств защиты

Получив доступ к ScreenConnect, злоумышленники запускали многоэтапный криптер FatMalloc. Он выделял и обнулял около 2 ГБ памяти, вызывая сбой или превышение времени ожидания в ограниченных песочницах и эмуляторах. Затем криптер расшифровывал встроенный шелл-код и выполнял его косвенно, через колбэк timeSetEvent, а не в обычном потоке или прямым вызовом.

Шелл-код динамически разрешал API, отображал нативный PE-файл в памяти и загружал конечную полезную нагрузку HwAudKiller. Она внедряла подписанный аудиодрайвер Huawei HWAuidoOs2Ec.sys. Драйвер извлекался в %TEMP%\Havoc.sys и регистрировался как служба ядра Havoc. Он предоставлял устройство HWAudioX64 и принимал управляющий код ввода-вывода 0x2248DC с идентификатором процесса. Используя функции ядра для открытия и завершения целевого процесса, драйвер обходил средства защиты в пользовательском режиме.

HwAudKiller многократно сканировал процессы и нацеливался на средства защиты, в том числе Microsoft Defender, Kaspersky и SentinelOne. В другом варианте он атаковал FortiEDR.

Действия в отдельном вторжении и точки обнаружения

В отдельном вторжении были продемонстрированы вероятные дальнейшие цели. Отключив EDR, оператор извлёк данные из LSASS с помощью comsvcs.dll через rundll32.exe, провёл обнаружение в сети и применил NetExec с модулями lsassy и DPAPI для массового сбора учётных записей и горизонтального перемещения внутри компании.

Ключевые точки обнаружения:

• несанкционированные пробные экземпляры ScreenConnect;
• подозрительные бинарные файлы, запускаемые из каталогов ScreenConnect;
• создание службы Havoc;
• наличие Havoc.sys во временном каталоге.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.