Злоумышленники маскировали ScreenConnect под обновления Adobe через BiTB
25 и 31 августа злоумышленники использовали фишинговые сообщения и технику «браузер в браузере» (BiTB), чтобы направить жертв на контролируемые атакующими страницы. Они имитировали запросы на просмотр файлов Adobe PDF Reader и показывали убедительные окна браузера с фирменным стилем Adobe и правдоподобными URL-адресами. Предложенные для установки или обновления Adobe Reader файлы были вредоносными установщиками ScreenConnect. Обе атаки пресекли до начала дополнительной активности.
Первый инцидент и два клиента ScreenConnect
В первом случае фишинговая ссылка вела на домен adoube[.]vu. На странице отображались поддельная CAPTCHA и приманка в виде документа Adobe PDF. Предположительно, установщик Adobe под именем ScreenConnect.ClientSetup.exe загрузили с hosthiifran[.]screenconnect[.]com.
После выполнения файла в системе установили двух несанкционированных клиентов ScreenConnect. Первый клиент с идентификатором 9c1aea531ba4c511 взаимодействовал с instance-uxh86b-relay[.]screenconnect[.]com. С помощью cmd.exe и curl он загрузил второй клиент, 7c1d255d0efefde6, который подключился к 144.172.115[.]59.
Оба клиента закрепились в системе в виде служб Windows. Затем злоумышленник использовал вторую сессию для выполнения HideCursor.exe, бинарного файла для сокрытия видимой активности.
Второй инцидент и обнаружение вредоносного установщика
Второй инцидент начался с вредоносной ссылки, доставленной через сообщение AT&T Office@Hand. Она перенаправляла жертву на страницу selectstructure[.]com[.]au/freedom/adobedocument.html с приманкой на тему Adobe.
С сайта victory[.]mkc1[.]digitaloceanspaces[.]com загрузили фальшивое обновление AdbRdBkUpsStUp.msi. После этого установили клиентскую часть ScreenConnect d751818fd46e5ca9. С помощью cmd.exe и curl она загрузила файл patch.msi с consultingics[.]com.
Файл patch.msi установил клиент c19e38a20f1ba492. Его загрузили с scx[.]illuminantgroup[.]net и настроили на взаимодействие с relay[.]illuminantgroup[.]net. Оба клиента зарегистрировали как службы, обеспечив избыточное закрепление для удалённого доступа. Затем злоумышленник выполнил HideUL.exe для подавления или сокрытия активности курсора.
Microsoft Defender обнаружил patch.msi как Trojan:Win32/Commando.A!ml, однако выполнение файла не было полностью предотвращено.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
