Злоумышленники устанавливают ScreenConnect через MSP360 RMM

В июле 2026 года Microsoft зафиксировала фишинговые кампании неизвестной атрибуции против организаций из разных отраслей. Для получения первоначального доступа злоумышленники использовали легитимный подписанный установщик MSP360 RMM версии 2.5.0.67, а затем разворачивали ConnectWise ScreenConnect как дополнительный канал удалённого доступа.

Фишинговые приманки и установка MSP360

В письмах использовались приглашения на встречи, PDF-файлы и документы, уведомления об обновлении программного обеспечения и доставке, предложения о работе, а также темы, связанные с платформами совместной работы. Ссылки вели на сайты под контролем злоумышленников или скомпрометированные ресурсы, а также на легитимные облачные сервисы Amazon S3, Cloudflare R2, Dropbox, GitLab и Supabase.

Жертвы скачивали установщик MSP360 RMM, замаскированный под деловой документ, программу для проведения встреч, PDF-файл или установщик программного обеспечения. После запуска из каталога «Загрузки» установщик запрашивал повышение прав через User Account Control (UAC). При успешном повышении прав компоненты MSP360 разворачивались в каталоге C:\Program Files\RMM Agent\.

Установщик создавал службы Windows RMM.Agent.exe и RMM.Agent.Launcher.exe, записи автозапуска в реестре для компонентов пользовательского интерфейса и правило входящего разрешения в брандмауэре Windows для UDP-порта 48678, связанного с RMM.Agent.exe. Кроме того, он выполнял команду dotnet -list-runtimes для перечисления установленных сред выполнения .NET и создавал события о статусе установки с помощью eventcreate.exe.

Если запрос UAC отклоняли, установка обычно прекращалась до появления закрепления и функций удалённого доступа.

Развёртывание ScreenConnect и действия злоумышленников

Затем агент MSP360 запускал PowerShell, менял политику выполнения для текущего сеанса и загружал ClientSetup.msi с инфраструктуры под контролем злоумышленников с помощью Invoke-WebRequest. MSI-файл устанавливали в скрытом режиме с помощью msiexec.exe /qn. В систему добавлялись компоненты ConnectWise ScreenConnect, в том числе ScreenConnect.ClientService.exe и ScreenConnect.WindowsClient.exe.

ScreenConnect регистрировали как службу, настраивали для взаимодействия с инфраструктурой под контролем злоумышленников и использовали как дополнительный канал удалённого доступа. Через функцию RunFile злоумышленники передавали и запускали дополнительные инструменты. Имена файлов часто имитировали компоненты Windows, Microsoft Defender, Phone Link или средств защиты.

Аналогичное поведение наблюдалось при использовании FaronicsDeployAgent.exe для установки ScreenConnect. Описанная активность включала злоупотребление легитимным программным обеспечением для удалённого администрирования с целью получения первоначального доступа и закрепления, избыточное удалённое управление, передачу полезной нагрузки, операции по получению учётных данных и сбор информации.

К соответствующим техникам относятся:

• целевой фишинг через ссылки;
• выполнение с участием пользователя;
• маскировка;
• закрепление через службы и реестр;
• использование PowerShell;
• передача инструментов из внешней сети;
• злоупотребление программным обеспечением для удалённого доступа;
• зашифрованные коммуникации;
• использование веб-сервисов;
• изучение системы.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.