Страницы-приманки могли загружать подписанные установщики ScreenConnect с настройками злоумышленников
CloudSEK обнаружила приманку, оформленную под Adobe Acrobat Reader и размещённую на домене clickksy.icu. С ней были связаны два подлинных установщика ConnectWise ScreenConnect с цифровыми подписями. Они подключались к разным облачным арендаторам ScreenConnect, omydze и vvvzou. Установщики не признали троянизированными: риск заключался в заданных злоумышленником настройках удалённого доступа. Если бы пользователь установил клиент, внешний оператор мог бы получить постоянный доступ к устройству.
Страницы-приманки и клиенты ScreenConnect
Связанный кластер включал пять вариантов страницы View & Sign Form с почти одинаковым кодом JavaScript и общим фоновым изображением. Страницы проверяли операционную систему и характеристики устройств посетителей, собирали сведения об IP-адресах и геолокации и передавали данные в боты Telegram. Они могли ограничивать доступ в зависимости от интернет-провайдера и автоматически загружать клиенты ScreenConnect, настроенные для разных арендаторов.
Одна из страниц перенаправляла посетителей, использовавших не Windows, на URL с тематикой Adobe. Так связывались две схемы доставки, но саму страницу Adobe не удалось получить для независимого анализа. В коде страниц обнаружили четыре разные пары «бот и чат» Telegram.
Среди других обнаруженных арендаторов ScreenConnect были luminahealthturkey2, tfcconnection и alunos1. Три клиента, собранные при последующем анализе, содержали настройки ретранслятора и отпечатки, специфичные для каждого арендатора. Подписи этих клиентов независимо не проверялись. Собранные данные указывают на использование общих инструментов доставки, но не позволяют определить, действовал ли один оператор или несколько операторов со скопированными инструментами. Ещё один адрес назначения возвращал HTTP 404, поэтому его назначение осталось неопределённым.
Статический анализ двух установщиков показал, что каждый устанавливает службу ScreenConnect Client, настроенную на автоматический запуск от имени LocalSystem. В установщики также были включены конфигурация ретранслятора для конкретного арендатора и обработчик URL-протокола.
Рекомендации для защитников
Авторы отчёта рекомендуют:
- искать несанкционированные установки ScreenConnect, конфигурации арендаторов, службы с автоматическим запуском и соединения с релей-хостами ScreenConnect, не полагаясь только на хеши файлов;
- расследовать подозрительные уведомления и загрузки из браузера, связанные с Telegram и соответствующие шаблону URL клиента ScreenConnect;
- проверять, соответствуют ли детектирования с учётом контекста арендатора обычному использованию в организации;
- расследовать несанкционированные клиенты, сохраняя доказательства, изолируя затронутые хосты, удаляя установку, меняя скомпрометированные учётные данные и анализируя сеансы удалённого доступа и передачи файлов.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
