Злоумышленники использовали подписанные клиенты ScreenConnect для скрытого доступа

Операции включали злоупотребление легитимными подписанными клиентами ConnectWise ScreenConnect, которые перенастраивали для подключения к ретрансляторам под контролем злоумышленников. Анализ инфраструктуры выявил пересечения между операциями, но они не позволяют однозначно установить единого ответственного злоумышленника.

Способы доставки и развёртывание ScreenConnect

Для доставки использовались несколько способов:

• фишинговые письма, имитировавшие DocuSign, ShareFile, приглашения, налоговые органы и финансовые сервисы;
• загрузки, продвигаемые через SEO-поиск и содержащие вредоносный код, включая троянизированный установщик balenaEtcher;
• вредоносная реклама и цепочки перенаправлений;
• цепочка с применением средств удалённого управления, в которой несанкционированный агент SimpleHelp незаметно скачивал и устанавливал ScreenConnect.

В наиболее глубоком проникновении подписанный файл SimpleHelp Remote Access.exe запустил загрузчик PowerShell. Загрузчик получил MSI-файл ScreenConnect, записал его в C:\Users\Public\Support.msi и установил командой msiexec /qn /norestart.

После трёх заблокированных попыток связаться с доменом supoort-pdf[.]com оператор переключился на invoice4u-pdf[.]com. Затем ScreenConnect установил соединение с ретранслятором по TCP-порту 8041.

Оператор развернул несколько экземпляров ScreenConnect, в том числе службы и каталоги, маскировавшиеся под компоненты Microsoft или Visual C++:

• Microsoft в каталоге MSVisualFriend;
• SystemSupport;
• MsVC20152019Svc.

Действия оператора и закрепление

Сессии ScreenConnect обеспечивали интерактивное выполнение команд через cmd.exe /c и временные каталоги в C:\Windows\SystemTemp\ScreenConnect. Оператор запускал сценарии PowerShell, устанавливал дополнительные пакеты MSI и удалял конкурирующие средства удалённого управления, включая LogMeIn/GoTo, ISL Online и GoToResolve.

Закрепление в системе выполнялось с помощью служб Windows, записей в реестре SafeBoot и базового агента SimpleHelp. Для отказоустойчивости применялось несколько экземпляров ScreenConnect. Доменные имена, IP-адреса и инфраструктура ретрансляции периодически менялись для обхода блокировок.

Подделка подписи и инфраструктурные пересечения

Статический анализ пакета SimpleHelp выявил подделку подписи Authenticode, или Authenticode stuffing. Четыре бинарных файла содержали зашифрованные блоки данных объёмом около 205 КБ в неподписанных атрибутах подписи. При этом исполняемый код оставался побайтово идентичным легитимным файлам, а дайджесты Authenticode сохраняли валидность.

Метод позволял добавлять данные без доступа к ключу подписи. В бинарных файлах находилась конфигурация, обеспечивавшая бесконтрольное управление, выполнение сценариев и инфраструктуру обновлений, определяемую злоумышленником.

У инфраструктуры обнаружились общие характеристики сборки, доставка полезной нагрузки через GitHub Raw, одноразовые домены с тематикой PDF, а также хосты, обслуживавшие SimpleHelp и ScreenConnect. Эти пересечения указывают на связанные операции или использование общих инструментов, однако не позволяют однозначно установить единого злоумышленника, несущего ответственность.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.