Phishing z EV instaluje ScreenConnect i backdoory RMM

Wprowadzenie: dlaczego to ma znaczenie

Aktorzy zagrożeń coraz częściej wtapiają się w legalne operacje IT, wdrażając komercyjnie dostępne narzędzia Remote Monitoring and Management (RMM). Ta kampania podnosi poprzeczkę jeszcze wyżej, wykorzystując znajomy branding „aplikacji do pracy” oraz podpisywanie kodu EV, aby ograniczyć podejrzliwość użytkowników i zwiększyć skuteczność uruchomień — co czyni ją praktyczną ścieżką initial access w przedsiębiorstwach, gdzie użytkownicy rutynowo instalują oprogramowanie do spotkań i pracy z dokumentami.

Co nowego / kluczowe ustalenia

Microsoft Defender Experts zaobserwowali wiele kampanii phishingowych przypisywanych niezidentyfikowanemu aktorowi zagrożeń. Kluczowe cechy obejmują:

• Przynęty związane ze spotkaniami i dokumentami: Wiadomości e-mail podszywały się pod zaproszenia na spotkania (Teams/Zoom/Google Meet), faktury, dokumenty finansowe, oferty oraz powiadomienia organizacyjne.
• Podrobione pliki PDF i fałszywe strony pobierania: Niektóre wiadomości dostarczały fałszywe pliki PDF z przyciskiem „Open in Adobe”, który przekierowywał użytkowników do łudząco podobnej strony pobierania Adobe zachęcającej do „aktualizacji”.
• Pliki wykonywalne podszywające się pod legalne: Ładunki miały nazwy przypominające zaufane instalatory, w tym msteams.exe, adobereader.exe, zoomworkspace.clientsetup.exe, invite.exe oraz trustconnectagent.exe.
• Nadużycie zaufania poprzez podpis EV: Droppery były cyfrowo podpisane certyfikatem EV wydanym dla TrustConnect Software PTY LTD, co pomagało im wyglądać na legalne.
• Wdrożenie backdoora RMM: Uruchomienie prowadziło do instalacji narzędzi RMM, takich jak ScreenConnect, Tactical RMM i Mesh Agent, umożliwiając trwały zdalny dostęp.

Jak intruzja ustanawia trwałość (najważniejsze aspekty techniczne)

W łańcuchu skoncentrowanym na ScreenConnect plik wykonywalny „workspace”:

• Kopiował siebie do C:\Program Files, aby wyglądać jak legalnie zainstalowana aplikacja.
• Rejestrował się jako usługa Windows w celu zapewnienia trwałości przy uruchamianiu.
• Tworzył dodatkowy mechanizm autorun za pomocą klucza Run:
  • HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  • Nazwa wartości: TrustConnectAgent
  • Cel: C:\Program Files\Adobe Acrobat Reader\AdobeReader.exe
• Nawiązywał połączenia wychodzące z infrastrukturą atakującego (w szczególności trustconnectsoftware[.]com).
• Używał zakodowanego PowerShell do pobierania dodatkowych ładunków i wywoływał msiexec.exe w celu zainstalowania ScreenConnect z przygotowanych plików MSI.

Microsoft odnotował przypadki, w których plik MSI wyglądał na niepodpisany, po czym następowały pliki binarne ScreenConnect podpisane unieważnionymi certyfikatami — jest to wzorzec powszechnie kojarzony ze złośliwym lub nieautoryzowanym wdrożeniem.

Wpływ na administratorów IT i użytkowników końcowych

• Użytkownicy są atakowani poprzez rutynowe przepływy pracy: dołączanie do spotkań, przeglądanie faktur i aktualizowanie „nieaktualnych” aplikacji.
• Zespoły IT i bezpieczeństwa mogą zauważyć, że aktywność atakującego miesza się z normalnymi narzędziami administracyjnymi, ponieważ agenty RMM mogą przypominać zatwierdzone narzędzia zdalnego wsparcia.
• Ryzyko rośnie po kompromitacji: trwałość poprzez usługi/autorun oraz narzędzia RMM mogą przyspieszyć dostęp do poświadczeń, zdalną kontrolę i ruch boczny.

Działania / kolejne kroki

• Wzmocnij ścieżki instalacji oprogramowania: tam, gdzie to możliwe, ogranicz instalacje inicjowane przez użytkowników; wymuszaj allowlisting (np. WDAC/App Control) dla plików wykonywalnych przypominających instalatory.
• Audytuj użycie RMM: zinwentaryzuj zatwierdzone narzędzia RMM oraz blokuj lub generuj alerty dla nieautoryzowanych agentów (ScreenConnect/Tactical RMM/Mesh) i podejrzanego tworzenia usług.
• Zweryfikuj decyzje oparte na zaufaniu do podpisu kodu: traktuj „signed” jako sygnał — nie dowód. Dodaj logikę detekcji dla nowych/rzadkich wydawców i nietypowych plików binarnych podpisanych EV.
• Poluj na wskaźniki trwałości: szukaj klucza Run TrustConnectAgent, nieoczekiwanych usług oraz podejrzanych wzorców msiexec.exe i zakodowanego PowerShell.
• Wzmocnij odporność na phishing: przypominaj użytkownikom o ostrożności wobec monitów „wymagana aktualizacja” pochodzących z e-maili/PDF oraz używaj zabezpieczeń Defender do detonacji/inspekcji załączników i linków.