EV-Signed Phishing Campaigns Drop ScreenConnect Backdoors

Introduzione: perché è importante

Gli attori delle minacce stanno sempre più mimetizzandosi con le operazioni IT legittime distribuendo strumenti Remote Monitoring and Management (RMM) disponibili commercialmente. Questa campagna alza ulteriormente l’asticella usando un branding familiare da “workplace app” e la firma del codice EV per ridurre i sospetti degli utenti e aumentare i tassi di esecuzione—rendendola una via pratica di accesso iniziale nelle aziende in cui gli utenti installano regolarmente software per riunioni e documenti.

Novità / risultati chiave

Microsoft Defender Experts ha osservato più campagne di phishing attribuite a un attore di minaccia non identificato. Le caratteristiche principali includono:

• Esca su meeting e documenti: le email si spacciavano per inviti a riunioni (Teams/Zoom/Google Meet), fatture, documenti finanziari, offerte e notifiche organizzative.
• PDF contraffatti e pagine di download spoofate: alcuni messaggi consegnavano PDF falsi con un pulsante “Open in Adobe” che reindirizzava gli utenti a un sito di download Adobe somigliante che richiedeva un “update.”
• Eseguibili camuffati: i payload erano denominati per assomigliare a installer affidabili, inclusi msteams.exe, adobereader.exe, zoomworkspace.clientsetup.exe, invite.exe e trustconnectagent.exe.
• Abuso della fiducia tramite firma EV: i dropper erano firmati digitalmente con un certificato EV rilasciato a TrustConnect Software PTY LTD, contribuendo a farli apparire legittimi.
• Distribuzione di backdoor RMM: l’esecuzione portava all’installazione di strumenti RMM come ScreenConnect, Tactical RMM e Mesh Agent, abilitando accesso remoto persistente.

Come l’intrusione stabilisce la persistenza (punti tecnici salienti)

Nella catena incentrata su ScreenConnect, l’eseguibile “workspace”:

• Si copiava in C:\Program Files per sembrare un’applicazione installata legittima.
• Si registrava come servizio Windows per la persistenza all’avvio.
• Creava un ulteriore autorun tramite chiave Run:
  • HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  • Nome valore: TrustConnectAgent
  • Destinazione: C:\Program Files\Adobe Acrobat Reader\AdobeReader.exe
• Effettuava connessioni in uscita verso l’infrastruttura dell’attaccante (in particolare trustconnectsoftware[.]com).
• Usava PowerShell codificato per scaricare payload aggiuntivi e invocava msiexec.exe per installare ScreenConnect da file MSI predisposti.

Microsoft ha rilevato casi in cui l’MSI risultava non firmato, seguiti da binari ScreenConnect firmati con certificati revocati, un pattern comunemente associato a distribuzioni malevole o non autorizzate.

Impatto su amministratori IT e utenti finali

• Gli utenti vengono presi di mira attraverso flussi di lavoro di routine: partecipare a riunioni, rivedere fatture e aggiornare app “non aggiornate”.
• I team IT e di sicurezza possono vedere l’attività dell’attaccante confondersi con i normali strumenti amministrativi perché gli agent RMM possono assomigliare a soluzioni di supporto remoto approvate.
• Il rischio aumenta post-compromissione: persistenza tramite servizi/autorun più strumenti RMM può accelerare l’accesso alle credenziali, il controllo remoto e il movimento laterale.

Azioni / prossimi passi

• Rafforzare i percorsi di installazione software: limitare, dove possibile, le installazioni avviate dagli utenti; applicare l’allowlisting (ad es. WDAC/App Control) per eseguibili “simili a installer”.
• Verificare l’uso di RMM: censire gli strumenti RMM approvati e bloccare o generare alert su agent non autorizzati (ScreenConnect/Tactical RMM/Mesh) e su creazioni di servizi sospette.
• Rivedere le decisioni di trust sulla firma del codice: considerare “signed” come un segnale—non una prova. Aggiungere logiche di rilevamento per publisher nuovi/rari e binari EV-signed insoliti.
• Eseguire hunting su indicatori di persistenza: cercare la chiave Run TrustConnectAgent, servizi inattesi e pattern sospetti di msiexec.exe più PowerShell codificato.
• Rafforzare la resilienza al phishing: ribadire le linee guida agli utenti sui prompt “update required” provenienti da email/PDF e usare le protezioni di Defender per detonare/ispezionare allegati e link.