Злоумышленники используют ScreenConnect для распространения вредоноса: эксперты оценили угрозу для России

Злоумышленники используют ScreenConnect для атак на пользователей. Исследователи обнаружили три отдельных инцидента, связанных с распространением через программу вредоноса на основе Visual Basic Script. Об этом пишет The Hacker News.

ScreenConnect — программа от ConnectWise для удаленного доступа и технической поддержки, позволяющая через интернет подключаться к компьютерам и телефонам.

Ранее SecPost писал о широкомасштабной кампании по распространению трояна удаленного доступа AsyncRAT через ScreenConnect. В ходе атак злоумышленники создали более 90 поддельных доменов на 10 языках, включая русский. Позже они были использованы для распространения вредоносных установочных архивов под видом популярного ПО.

Инциденты отличались друг от друга методами первоначального доступа: в первом использовалось мошенничество с технической поддержкой Quick Assist, во втором — фишинговый установщик MSI, а в третьем — поддельная форма возврата средств от Geek Squad. Посредством этого злоумышленники устанавливали на устройства пользователей вредоносный ScreenConnect. После установки мошеннического клиента происходил запуск wscript.exe для выполнения VBScript-скриптов с именами 1.vbs, 2.vbs, 3.vbs и 4.vbs.

В исследовании подробно описаны все три инцидента. В первом атака проводилась при помощи методов социальной инженерии, в результате которой пользователь был вынужден запустить Quick Assist в рамках мошеннической схемы с технической поддержкой. После этого вредоносный клиент удаленного доступа развертывался для связи с сервером управления и контроля, расположенным по адресу «45.13.237[.]190» («tele-sync.opik[.]net»), на котором размещен RAR-архив, содержащий ранее упомянутые VBS-файлы.

Второй инцидент базировался на MSI-установщике, который, скорее всего, был доставлен в результате фишинговой атаки, позволившей развернуть клиент ScreenConnect, настроенный на связь с «131.123.40[.]98» через порт 8041. В исследовании выделено, что вредоносный ScreenConnect практически мгновенно запускал файлы VBScript из временного каталога клиента.

Третий инцидент, связанный с поиском формы возврата средств Geek Squad, приводил к развертыванию вредоносного клиента, который потом подключался к «borertors92.anondns[.]net», после чего сессия использовала VBS-скрипты. Исследователи подчеркнули: последовательность атак состояла из четырех этапов, во время которых каждый скрипт VBScript запускал следующий, позволяя ему развиваться дальше.

Скрипты действовали в особом порядке. Так, первый собирал сведения о системе, проверял наличие на устройстве ScreenConnect и искал установленные защитные продукты. Второй, в свою очередь, скачивал данные с Dropbox, декодировал их и сохранял. Оставшиеся скрипты — третий и четвертый — обрабатывали файлы и запускали второй PowerShell-скрипт.

Вредонос насчитывает как минимум три полезных нагрузки, одни из которых ведут к бэкдору ScreenConnect на уровне пользователя и к туннельным утилитам/майнеру криптовалюты. Другие же приводят к появлению инструментов для повышения привилегий путем обхода системы контроля учетных записей.

Отдельно исследователи выделили, что одна из веток полезной нагрузки отключает отчетность Microsoft Defender, включает Windows Integrity и запускает XMRig. При этом издание сообщило, что зараженный ScreenConnect-клиент способен передавать цепочку подключившимся системам: при новом Host-connection вредоносный клиент может инициировать доставку тех же четырех скриптов.

После этого клиент записывает каждый ConnectionID, чтобы избежать повторного обращения к одной и той же сессии, а потом удаляет идентификатор после разрыва соединения, что позволяет следующему повторному подключению запустить заражение снова. Исследователи советуют затронутым системам пересоздать образ с заведомо чистого носителя либо выполнить чистую установку ОС.

Мнение экспертов

Архитектор департамента «Информационная безопасность» «Рексофта» Даниил Левченко отметил, что ScreenConnect, являясь легитимным инструментом удаленного доступа, все чаще используется злоумышленниками. Эксперт отметил, что угроза со стороны ScreenConnect релевантна и для российских компаний, поскольку клиент имеет связь с русскоязычными операторами и инфраструктурой.

При этом начальник отдела по ИБ компании «Код Безопасности» Алексей Коробченко выделил, что ScreenConnect, несмотря на его крайне малую долю по сравнению с более популярными аналогами, присутствует в России.

Основными пользователями ПО эксперт назвал ИТ-подрядчиков, которые оказывают услуги удаленного обслуживания, а также внутренние отделы технической поддержки крупных компаний. Софт, по заявлению собеседника редакции, используется для оперативного подключения к рабочим станциям сотрудников или серверам. «Таким образом, угроза актуальна в первую очередь для организаций, где практикуется аутсорсинг поддержки», — заключил эксперт.

Проджект-менеджер ГК Softline (MD Audit) Кирилл Левкин при этом указал, что сам по себе ScreenConnect не представляет ничего подозрительного, поскольку является штатным инструментом. «Проблема возникает, когда злоумышленник получает возможность установить взломанную версию ScreenConnect вместо легитимной», — выделил эксперт.

По мнению Левкина, в таком случае через вредоносный клиент злоумышленник может получить доступ к системе и попытаться распространить его на другие устройства. Эксперт выделил, что риск для компаний российского рынка маловероятен, если клиент был установлен из внутреннего репозитория, а на клиентских компьютерах действуют строгие правила и ограничения на установку ПО из внешних и непроверенных источников.

Заместитель директора по информационной безопасности РТК-ЦОД Иван Синецкий подчеркнул: угрозу представляет не легитимный ScreenConnect, а подменённый вредоносный клиент, который злоумышленники устанавливают под видом настоящего. «В описанных инцидентах данный доступ достигался через социальную инженерию: фейковую техподдержку через Quick Assist, фишинговый MSI-установщик или поддельную форму возврата средств Geek Squad», — говорит Синецкий.

«После установки такого клиента он автоматически распространяет четырёхэтапную VBScript-цепочку на новые хосты, которые подключаются к сессии. Это и придаёт атаке самораспространяющийся характер», — отмечает эксперт.

Сложность обнаружения атаки

«Легитимный ScreenConnect создаёт цепочку валидных процессов: удалённые сессии, сетевые подключения, а также, например, запуск скриптов со стороны ИТ-поддержки. Поэтому искать нужно не по самому факту наличия ScreenConnect, а по отклонениям в его поведении», — говорит Синецкий.

Левченко также отметил, что обнаружить атаки, маскирующиеся под легитимное ПО, довольно сложно. Основными их признаками для администратора должны стать аномальные дочерние процессы, по типу cmd.exe или wscript.exe, установка из временных папок вместо Program Files, подключение к промежуточным серверам вместо доменов ConnectWise, а также события установки служб из нестандартных путей.

Коробченко, в свою очередь, отметил, что для снижения рисков атак необходим комплексный подход, начинающийся с обязательного обновления клиента ScreenConnect до актуальной версии и строгого контроля за установкой любого ПО подобного класса. «Важно наладить регулярную инвентаризацию программного обеспечения, тщательно мониторить сетевой трафик на предмет подозрительных соединений, а также установить и грамотно настроить локальные средства защиты (антивирусы и EDR)», — заключил эксперт.

Синецкий привел ряд аспектов, на которые стоит обратить внимание пользователям:

• Запуск сторонних процессов на базе командной строки или PowerShell (выполнение скриптов, не связанных с решаемыми задачами);
• Подключение клиента к серверам, отличающимся от корпоративной инсталляции либо официального домена; попытки внесения изменений в реестр, особенно в Run-цепочку;
• Попытки установки дополнительных модулей, если это не было инициировано работником ИТ-поддержки;
• Запуск скриптов не из доверенной директории, а из временных каталогов.