EV-signerede phishing-apps installerer ScreenConnect

Introduktion: hvorfor det er vigtigt

Trusselsaktører blander sig i stigende grad med legitime IT-operationer ved at anvende kommercielt tilgængelige Remote Monitoring and Management (RMM)-værktøjer. Denne kampagne hæver barren yderligere ved at bruge velkendt branding fra “arbejdspladsapps” og EV code signing til at reducere brugernes mistanke og øge eksekveringsraterne – hvilket gør det til en praktisk vej til initial access i virksomheder, hvor brugere rutinemæssigt installerer møde- og dokumentsoftware.

Hvad er nyt / vigtigste fund

Microsoft Defender Experts observerede flere phishing-kampagner, der tilskrives en uidentificeret trusselsaktør. Nøglekarakteristika omfatter:

• Møde- og dokumentlokkemidler: Emails udgav sig for at være mødeinvitationer (Teams/Zoom/Google Meet), fakturaer, finansielle dokumenter, tilbud og organisatoriske meddelelser.
• Forfalskede PDF'er og spoofede download-sider: Nogle beskeder leverede falske PDF'er med en “Open in Adobe”-knap, der omdirigerede brugere til et Adobe-downloadsite, der lignede det rigtige, og som bad om en “update”.
• Eksekverbare filer i forklædning: Payloads havde navne, der lignede betroede installationsprogrammer, herunder msteams.exe, adobereader.exe, zoomworkspace.clientsetup.exe, invite.exe og trustconnectagent.exe.
• Misbrug af tillid via EV-signering: Dropperne var digitalt signeret med et EV-certifikat udstedt til TrustConnect Software PTY LTD, hvilket hjalp dem med at fremstå legitime.
• Implementering af RMM-bagdøre: Eksekvering førte til installation af RMM-værktøjer som ScreenConnect, Tactical RMM og Mesh Agent, hvilket muliggjorde vedvarende fjernadgang.

Sådan etablerer indtrængningen persistence (tekniske højdepunkter)

I den ScreenConnect-fokuserede kæde gjorde “workspace”-eksekverbaren følgende:

• Kopierede sig selv til C:\Program Files for at ligne en legitim installeret applikation.
• Registrerede sig selv som en Windows service for startup persistence.
• Oprettede yderligere en autorun via Run key:
  • HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  • Værdinavn: TrustConnectAgent
  • Mål: C:\Program Files\Adobe Acrobat Reader\AdobeReader.exe
• Oprettede udgående forbindelse til angriberinfrastruktur (især trustconnectsoftware[.]com).
• Brugte encoded PowerShell til at downloade yderligere payloads og kaldte msiexec.exe for at installere ScreenConnect fra klargjorte MSI-filer.

Microsoft bemærkede tilfælde, hvor MSI'en så ud til at være usigneret, efterfulgt af ScreenConnect-binærfiler signeret med tilbagekaldte certifikater, et mønster der ofte forbindes med ondsindet eller uautoriseret implementering.

Konsekvenser for IT-administratorer og slutbrugere

• Brugere rammes gennem rutineprægede arbejdsgange: deltagelse i møder, gennemgang af fakturaer og opdatering af “forældede” apps.
• IT- og sikkerhedsteams kan opleve, at angriberaktivitet flyder sammen med normalt admin-værktøj, fordi RMM-agenter kan ligne godkendt fjernsupport.
• Risikoen stiger efter kompromittering: persistence via services/autoruns samt RMM-værktøjer kan accelerere credential access, fjernstyring og lateral movement.

Handlinger / næste skridt

• Hærd softwareinstallationsstier: begræns brugerinitierede installationer, hvor det er muligt; håndhæv allowlisting (f.eks. WDAC/App Control) for “installer-lignende” eksekverbare filer.
• Auditer brug af RMM: opgør godkendte RMM-værktøjer og blokér eller alarmer om uautoriserede agenter (ScreenConnect/Tactical RMM/Mesh) og mistænkelig oprettelse af services.
• Gennemgå tillidsbeslutninger for code signing: behandl “signeret” som et signal – ikke som bevis. Tilføj detektionslogik for nye/sjældne udgivere og usædvanlige EV-signerede binærfiler.
• Jagt på persistence-indikatorer: se efter TrustConnectAgent Run key, uventede services og mistænkelige mønstre med msiexec.exe samt encoded PowerShell.
• Styrk modstandsdygtigheden mod phishing: forstærk brugervejledning omkring prompts om “update required” fra email/PDF'er, og brug Defender-beskyttelser til at detonere/inspektere vedhæftede filer og links.