Злоумышленник доставил ScreenConnect через фишинговое письмо

Злоумышленник использовал фишинговое письмо, чтобы доставить подлинный клиент ScreenConnect вместо собственного вредоносного ПО. Клиент заранее настроили на обратное подключение к тестовой учётной записи под контролем злоумышленника. Это потенциально давало ему возможность получить удалённый доступ к системе жертвы через платформу удалённого мониторинга и управления ScreenConnect.

Доставленный исполняемый файл формата PE первоначально не был известен VirusTotal, поэтому его исследовали. Анализ подтвердил, что это приложение ScreenConnect, подписанное компанией ConnectWise, LLC действительным сертификатом DigiCert G4 Code Signing CA1. Хеш-значение Authenticode файла полностью совпадало с подписанным хеш-значением. В файле не обнаружили оверлея, добавленных данных или внедрённого содержимого в таблице сертификатов. По оценке исследователей, атака не основывалась на модификации подписанного исполняемого файла или сокрытии изменённой конфигурации с помощью манипуляций с таблицей сертификатов.

Вместо этого злоумышленник воспользовался легитимным коммерческим средством удалённого мониторинга и управления. Такие инструменты могут быть эффективны в атаках: они выглядят как обычные приложения, обычно вызывают доверие у средств защиты и пользователей и позволяют удалённо администрировать системы без специализированного вредоносного ПО. Этот приём входит в более широкую практику злоупотребления легитимным программным обеспечением, которую часто называют Living-off-the-Land Remote Monitoring and Management (LOLRMM).

Авторы анализа отмечают, что действительная цифровая подпись и происхождение программы от легитимного поставщика сами по себе не подтверждают безвредность её использования. По их оценке, также нужно учитывать способ развёртывания инструмента, его конфигурацию и характер исходящих сетевых подключений.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.