EV-ondertekende phishing installeert ScreenConnect RMM

Inleiding: waarom dit belangrijk is

Threat actors mengen zich steeds vaker met legitieme IT-activiteiten door commercieel beschikbare Remote Monitoring and Management (RMM)-tools in te zetten. Deze campagne legt de lat nog hoger door vertrouwde branding van “werkplek-apps” en EV code signing te gebruiken om argwaan bij gebruikers te verminderen en de uitvoeringsgraad te verhogen—waardoor dit een praktisch initial-accesspad wordt in ondernemingen waar gebruikers routinematig software voor vergaderingen en documenten installeren.

Wat is nieuw / belangrijkste bevindingen

Microsoft Defender Experts observeerde meerdere phishingcampagnes die worden toegeschreven aan een niet-geïdentificeerde threat actor. Belangrijke kenmerken zijn onder meer:

• Vergader- en documentlokkingen: E-mails deden zich voor als vergaderuitnodigingen (Teams/Zoom/Google Meet), facturen, financiële documenten, offertes en organisatorische meldingen.
• Vervalste PDF’s en gespoofte downloadpagina’s: Sommige berichten leverden nep-PDF’s met een knop “Open in Adobe” die gebruikers doorstuurde naar een lookalike Adobe-downloadsite met de vraag om een “update”.
• Vermomde uitvoerbare bestanden: Payloads kregen namen die op vertrouwde installers moesten lijken, waaronder msteams.exe, adobereader.exe, zoomworkspace.clientsetup.exe, invite.exe en trustconnectagent.exe.
• Misbruik van vertrouwen via EV-ondertekening: De droppers waren digitaal ondertekend met een EV-certificate uitgegeven aan TrustConnect Software PTY LTD, waardoor ze legitiem leken.
• Uitrol van RMM-backdoors: Uitvoering leidde tot installatie van RMM-tools zoals ScreenConnect, Tactical RMM en Mesh Agent, waarmee persistente remote access mogelijk werd.

Hoe de inbraak persistentie vestigt (technische highlights)

In de op ScreenConnect gerichte keten deed het “workspace”-uitvoerbare bestand het volgende:

• Kopieerde zichzelf naar C:\Program Files om eruit te zien als een legitiem geïnstalleerde applicatie.
• Registreerde zichzelf als een Windows service voor opstartpersistentie.
• Maakte een extra autorun aan via de Run key:
  • HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  • Waardenaam: TrustConnectAgent
  • Doel: C:\Program Files\Adobe Acrobat Reader\AdobeReader.exe
• Maakte een uitgaande verbinding met infrastructuur van de aanvaller (met name trustconnectsoftware[.]com).
• Gebruikte encoded PowerShell om aanvullende payloads te downloaden en riep msiexec.exe aan om ScreenConnect te installeren vanuit staged MSI-bestanden.

Microsoft merkte gevallen op waarin de MSI niet ondertekend leek, gevolgd door ScreenConnect-binaries die waren ondertekend met ingetrokken certificaten, een patroon dat vaak wordt geassocieerd met kwaadaardige of ongeautoriseerde uitrol.

Impact op IT-beheerders en eindgebruikers

• Gebruikers worden aangevallen via routinematige workflows: deelnemen aan vergaderingen, facturen beoordelen en “verouderde” apps updaten.
• IT- en securityteams kunnen aanvalleractiviteit zien opgaan in normale beheertools, omdat RMM-agents kunnen lijken op goedgekeurde remote support.
• Het risico neemt toe na compromise: persistentie via services/autoruns plus RMM-tooling kan credential access, remote control en laterale verplaatsing versnellen.

Actiepunten / volgende stappen

• Verhard software-installatiepaden: beperk waar mogelijk installaties die door gebruikers worden gestart; dwing allowlisting af (bijvoorbeeld WDAC/App Control) voor “installer-achtige” uitvoerbare bestanden.
• Controleer RMM-gebruik: inventariseer goedgekeurde RMM-tools en blokkeer of alarmeer op ongeautoriseerde agents (ScreenConnect/Tactical RMM/Mesh) en verdachte servicecreatie.
• Herzie vertrouwensbeslissingen rond code signing: beschouw “ondertekend” als een signaal—niet als bewijs. Voeg detectielogica toe voor nieuwe/zeldzame publishers en ongebruikelijke EV-ondertekende binaries.
• Jaag op persistentie-indicatoren: zoek naar de TrustConnectAgent Run key, onverwachte services en verdachte patronen rond msiexec.exe plus encoded PowerShell.
• Versterk phishingweerbaarheid: benadruk gebruikersrichtlijnen rond prompts als “update required” uit e-mail/PDF’s en gebruik Defender-bescherming om bijlagen en links te detoneren/inspecteren.