EV potpisani instaleri šire ScreenConnect backdoor

Uvod: zašto je ovo važno

Threat actor-i sve češće „nestaju u masi” legitimnih IT operacija primenom komercijalno dostupnih Remote Monitoring and Management (RMM) alata. Ova kampanja podiže lestvicu dodatno koristeći prepoznatljiv brending „workplace app” aplikacija i EV code signing kako bi smanjila sumnju korisnika i povećala stopu izvršavanja—što je čini praktičnim putem za initial access u preduzećima gde korisnici rutinski instaliraju softver za sastanke i dokumente.

Šta je novo / ključni nalazi

Microsoft Defender Experts su uočili više phishing kampanja pripisanih neidentifikovanom threat actor-u. Ključne karakteristike uključuju:

• Mamci vezani za sastanke i dokumente: Email poruke su se lažno predstavljale kao pozivi na sastanke (Teams/Zoom/Google Meet), fakture, finansijski dokumenti, ponude i organizaciona obaveštenja.
• Lažni PDF-ovi i spoofed stranice za preuzimanje: Neke poruke su isporučivale lažne PDF-ove sa dugmetom „Open in Adobe” koje je preusmeravalo korisnike na lookalike Adobe sajt za preuzimanje koji je tražio „update.”
• Izvršne datoteke koje se predstavljaju kao legitimne: Payload-ovi su dobijali nazive koji liče na pouzdane instalere, uključujući msteams.exe, adobereader.exe, zoomworkspace.clientsetup.exe, invite.exe i trustconnectagent.exe.
• Zloupotreba poverenja kroz EV potpisivanje: Dropperi su bili digitalno potpisani EV sertifikatom izdatim za TrustConnect Software PTY LTD, što im je pomagalo da deluju legitimno.
• Implementacija RMM backdoor-a: Izvršavanje je dovodilo do instalacije RMM alata kao što su ScreenConnect, Tactical RMM i Mesh Agent, omogućavajući postojan remote access.

Kako upad uspostavlja postojanost (tehnički naglasci)

U lancu fokusiranom na ScreenConnect, „workspace” izvršna datoteka:

• Kopirala je samu sebe u C:\Program Files kako bi izgledala kao legitimno instalirana aplikacija.
• Registrovala se kao Windows service radi startup persistence.
• Kreirala dodatni autorun putem Run key:
  • HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  • Naziv vrednosti: TrustConnectAgent
  • Target: C:\Program Files\Adobe Acrobat Reader\AdobeReader.exe
• Uspostavljala outbound konekciju ka infrastrukturi napadača (posebno trustconnectsoftware[.]com).
• Koristila encoded PowerShell za preuzimanje dodatnih payload-ova i pozivala msiexec.exe da instalira ScreenConnect iz staged MSI fajlova.

Microsoft je naveo slučajeve u kojima je MSI delovao nepotpisano, nakon čega su ScreenConnect binariji bili potpisani revoked sertifikatima, obrazac koji se često povezuje sa zlonamernim ili neovlašćenim deployment-om.

Uticaj na IT administratore i krajnje korisnike

• Korisnici su ciljani kroz rutinske tokove rada: pridruživanje sastancima, pregled faktura i ažuriranje „out-of-date” aplikacija.
• IT i security timovi mogu videti kako se aktivnost napadača stapa sa uobičajenim admin tooling-om, jer RMM agenti mogu ličiti na odobrenu remote support podršku.
• Rizik raste nakon kompromitovanja: postojanost putem servisa/autorun-a i RMM tooling-a može ubrzati pristup kredencijalima, remote control i lateral movement.

Preporučene radnje / sledeći koraci

• Ojačajte putanje instalacije softvera: gde je izvodljivo, ograničite instalacije koje pokreću korisnici; primenite allowlisting (npr. WDAC/App Control) za izvršne datoteke koje „liče na instalere.”
• Audit RMM upotrebe: napravite inventar odobrenih RMM alata i blokirajte ili generišite upozorenja za neautorizovane agente (ScreenConnect/Tactical RMM/Mesh) i sumnjivo kreiranje servisa.
• Preispitajte odluke o poverenju u code-signing: „potpisano” tretirajte kao signal—ne kao dokaz. Dodajte detekcionu logiku za nove/retke publishere i neuobičajene EV-potpisane binarije.
• Hunt za indikatorima postojanosti: tražite TrustConnectAgent Run key, neočekivane servise i sumnjive obrasce msiexec.exe plus encoded PowerShell.
• Ojačajte otpornost na phishing: pojačajte smernice za korisnike u vezi sa prompt-ovima „update required” koji dolaze iz email/PDF-ova i koristite Defender zaštite za detoniranje/inspekciju priloga i linkova.