Завантажувач в пам’яті встановлює ScreenConnect

Резюме

ThreatLabz виявила багатоступеневий ланцюг атаки, який починається з фальшивого завантаження Adobe Acrobat Reader і завершується розгортанням легітимного інструменту віддаленого доступу ScreenConnect. Операція покладається на сильно обфусцирований VBScript-завантажувач, який викликає команду PowerShell для отримання коду на мові C# з Google Drive, компілює його безпосередньо в пам’яті та запускає завантажувач .NET без збереження кінцевого навантаження на диск. Цей завантажувач потім застосовує маскування процесів, змінює структури PEB і зловживає автоматично підвищеними об’єктами COM для отримання вищих привілеїв перед встановленням ScreenConnect на жертву.

Розслідування

Дослідники описали, як VBScript збирає свої команди через обфускацію Chr(), в той час як PowerShell отримує та компілює навантаження цілком в пам’яті, щоб мінімізувати артефакти на диску. Завантажувач .NET в пам’яті потім використовує рефлексію для виконання вбудованого зібрання. Додатковий аналіз показав, що шкідливе програмне забезпечення викликає NtAllocateVirtualMemory, переписує поля PEB для імітації winhlp32.exe і використовує автоматичне підвищення COM для обходу управління обліковими записами користувачів і продовження виконання з підвищеними привілеями.

Пом’якшення

Захисники повинні блокувати доступ до шкідливих доменів завантаження і застосовувати суворі контролі до виконання PowerShell і VBScript. Команди безпеки повинні також відстежувати підозріле створення об’єктів COM, несподіване втручання в PEB та інші ознаки зловживання виконанням у пам’яті. Доступ до легітимних засобів віддаленого адміністрування, таких як ScreenConnect, слід суворо обмежувати затвердженими користувачами та довіреними робочими процесами, щоб зменшити ризик несанкціонованої установки.

Відповідь

Якщо ця активність виявлена, негайно ізолюйте уражену систему, зупиніть шкідливі процеси та видаліть будь-які компоненти ScreenConnect, встановлені як частина вторгнення. Проведіть криміналістичний аналіз, спрямований на артефакти пам’яті для відновлення доказів ланцюга безфайлового виконання. Скиньте потенційно відкриті облікові дані, перевірте журнали на зловживання авто-підвищенням COM і оновіть детекції для виявлення виявлених шаблонів командного рядка, поведінки завантажувача і пов’язаних конвенцій іменування файлів.

Виконання симуляції

Передумова: Телеметрія та запуск перевірки базової лінії повинні бути пройдені.

Пояснення: Цей розділ деталізує точне виконання техніки противника (TTP), розробленої для запуску правила виявлення. Команди та наративи ПОВИННІ безпосередньо відображати виявлені TTP та мають на меті створити точну телеметрію, очікувану логікою виявлення.

• Наратив атаки та команди:
  Атака отримала MSI ScreenConnect (часто доставляється через вкладення фішингу). Щоб уникнути взаємодії з користувачем, вони використовують довірений msiexec.exe бінарний файл для виконання тихої установки. Вони також демонструють альтернативний ShellExec.exe проксі, який просто переадресовує аргументи до msiexec. Обидві команди вбудовують буквальний рядок “ScreenConnect” у командний рядок, що задовольняє умову правила.

  1. Скопіювати MSI на хост жертви (симулює T1025).

  2. Виконати тиху установку через msiexec:

      msiexec.exe /i "C:TempScreenConnect.msi" /quiet /norestart

  3. Виконати ту ж установку через ShellExec.exe (якщо присутня на хості):

      ShellExec.exe /i "C:TempScreenConnect.msi" /quiet /norestart

  Ці дії створюють записи Windows Event 4688, де Зображення is *msiexec.exe or *ShellExec.exe and CommandLine містить “ScreenConnect”, викликаючи спрацьовування правила Sigma.

• Сценарій регресійного тестування:

  #=============================================================
  # Імітація установки ScreenConnect – запускає правило Sigma
  #=============================================================
  $msiPath = "C:TempScreenConnect.msi"
  
  # Переконайтеся, що MSI існує (заповнювач – у реальному тесті спочатку скиньте файл)
  if (-Не (Test-Path $msiPath)) {
      Write-Error "MSI ScreenConnect не знайдено на $msiPath"
      exit 1
  }
  
  # 1. Тиха установка за допомогою msiexec
  Write-Host "[*] Встановлюю ScreenConnect через msiexec..."
  Start-Process -FilePath "$env:SystemRootSystem32msiexec.exe" -ArgumentList "/i `"$msiPath`" /quiet /norestart" -Wait -NoNewWindow
  
  # 2. Тиха установка за допомогою ShellExec (якщо існує)
  $shellExec = "$env:ProgramFilesScreenConnectShellExec.exe"
  if (Test-Path $shellExec) {
      Write-Host "[*] Встановлюю ScreenConnect через ShellExec..."
      Start-Process -FilePath $shellExec `
                    -ArgumentList "/i `"$msiPath`" /quiet /norestart" `
                    -Wait -NoNewWindow
  } else {
      Write-Warning "ShellExec.exe не знайдено; пропускаємо другу установку."
  }
  
  Write-Host "[+] Імітація завершена. Перевірте ваш SIEM на наявність оповіщень."

• Команди очищення:

  # Видалити ScreenConnect (використовує зареєстрований ідентифікатор продукту; налаштуйте за необхідності)
  $productGuid = (Get-ItemProperty "HKLM:SoftwareMicrosoftWindowsCurrentVersionUninstall*" |
                  Where-Object { $_.DisplayName -like "*ScreenConnect*" }).PSChildName
  
  if ($productGuid) {
      Write-Host "[*] Видаляю ScreenConnect (GUID: $productGuid)..."
      & "$env:SystemRootSystem32msiexec.exe" /x $productGuid /quiet /norestart
  } else {
      Write-Warning "Ідентифікатор продукту ScreenConnect не знайдено; може знадобитися ручне очищення."
  }
  
  # Видалити скопійований файл MSI
  Remove-Item -Path "C:TempScreenConnect.msi" -Force -ErrorAction SilentlyContinue
  Write-Host "[+] Очищення завершено."