Злоумышленники используют подписанные клиенты ScreenConnect для скрытого удалённого доступа

Злоумышленники используют легитимные клиенты ConnectWise ScreenConnect для удалённого доступа. Они могут создать пробный облачный экземпляр ScreenConnect, сгенерировать подписанный ConnectWise клиент и распространять его через поддельные страницы обновлений, отравленные результаты поиска или приманки, маскирующиеся под бренд. Поскольку подпись такого клиента действительно принадлежит вендору, сама по себе её проверка и оценка доверия к подписи исполняемого кода не подходят для обнаружения. При этом защитники могут выявлять вредоносное поведение, например срабатывание антивируса или необычное предупреждение о программе для удалённого доступа.

В описанном вторжении на одном хосте использовали два импланта ScreenConnect. Первый подключался по TCP 443 к официальному облачному ретранслятору с именем хоста, похожим на instance-<id>-relay.screenconnect.com. После подключения оператора процесс ScreenConnect.ClientService.exe запускал ScreenConnect.WindowsBackstageShell.exe. Так создавалась скрытая командная среда, которую не обнаруживали правила, ориентированные только на cmd.exe или PowerShell.

Затем оператор использовал функции ScreenConnect для передачи файлов или выполнения команд, чтобы разместить и запустить второй установщик из временного каталога ScreenConnect в Windows. Второй имплант зарегистрировал ещё одну службу автозапуска Windows с именем, основанным на отпечатке экземпляра, и подключился к ретранслятору на сервере злоумышленника. Для соединения часто использовались иностранный домен или IP-адрес, подключение устанавливалось по TCP 8041. В конфигурации второго импланта отключили значок в системном трее, уведомления о подключении и отображаемые пользователю баннеры.

Несколько служб ScreenConnect на одном хосте указывают на наличие отдельных экземпляров и могут свидетельствовать о закреплении или резервировании на случай удаления одного из ретрансляторов. Полезную телеметрию дают:

• поля, связанные с источником в браузере, например FileOriginUrl и FileOriginReferrerUrl;
• сведения об идентичности поставщика в метаданных подписи кода;
• события установки службы Windows;
• записи реестра с полным путём службы в значении ImagePath;
• DNS-запросы процесса ScreenConnect.ClientService.exe;
• события создания процессов с участием ScreenConnect.WindowsBackstageShell.exe.

Запись службы в реестре может раскрыть ретранслятор до того, как клиент установит сетевое соединение. Журнал событий приложения ScreenConnect может помочь установить личность оператора, однако события можно подавить, изменив неподписанные компоненты продукта. Авторы отчёта рекомендуют выявлять такие случаи по совокупности данных о происхождении файлов, количестве служб, назначении ретранслятора, запуске backstage-shell и файлах во временных каталогах, а не полагаться на хеши файлов, текущие версии продукта или статус доверия к подписи.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.