SMOKE#SCREEN nutzt ScreenConnect und Cloudflare-Tunnel aus

Zusammenfassung

Die SMOKE#SCREEN-Kampagne beinhaltet Bedrohungsakteure, die legitime ScreenConnect RMM-Agenten durch überzeugende Social-Engineering-Köder einsetzen, die als Zoom- und Adobe-Updates getarnt sind. Die Angreifer nutzen ein rotierendes Toolkit aus VBScript-Droppers, .NET-Loadern und Batch-Dateien, um Sicherheitskontrollen zu umgehen und einen persistierenden Fernzugriff zu gewährleisten. Die Kampagne spiegelt eine sich entwickelnde Handwerkskunst wider, die von aggressiven Unterbrechungen von Sicherheitssoftware hin zu raffinierteren Techniken wechselt, die zeitlich auf die Umgehung der EDR-Erkennung abgestimmt sind.

Untersuchung

Securonix Threat Research deckte eine mehrwellige Kampagne auf, die WsgiDAV-Bereitstellungsserver und Cloudflare-Tunnel nutzte, um Nutzlasten zu liefern. Ermittler identifizierten drei verschiedene ScreenConnect-Relay-Cluster und rekonstruierten fünf separate Killchains, indem sie mehrere Skripte und ausführbare Proben analysierten. Die Forschung zeigte auch eine Entwicklung von stark verschlüsseltem VBScript zu fortgeschrittenen kompilierten Loadern, die außerhalb der spezifischen EDR-Erkennungsfenster arbeiten sollen.

Minderung

Verteidiger sollten die Ausführung von nicht vertrauenswürdigen MSI-Paketen über AppLocker oder WDAC einschränken und auf unbefugte Manipulationen mit Sicherheitsprodukten achten. Ein Audit der Nutzung legitimer RMM-Tools und die Durchsetzung strikter UAC-Richtlinien sind entscheidend, um unbefugten Fernzugriff zu verhindern. Auch verhaltensbasierte EDR-Regeln sollten eingesetzt werden, um verdächtige Eltern-Kind-Prozess-Beziehungen und ungewöhnliche Installationsaktivitäten zu identifizieren.

Reaktion

Wenn SMOKE#SCREEN-Aktivitäten erkannt werden, sollten betroffene Systeme sofort isoliert werden, um aktive ScreenConnect-Sitzungen zu beenden. Verantwortliche sollten den ursprünglichen Zugangsvektor untersuchen, einschließlich Phishing-E-Mails und bösartiger Software-Downloads. Jegliche offengelegten Anmeldeinformationen sollten widerrufen werden, während Systemkonfigurationsänderungen, insbesondere Microsoft Defender-Ausschlüsse und Registry-Modifikationen, überprüft und rückgängig gemacht werden sollten.

Simulation-Ausführung

Voraussetzung: Der Telemetrie- & Basislinien-Pre-Flight-Check muss bestanden sein.

Begründung: In diesem Abschnitt wird die präzise Ausführung der gegnerischen Technik (TTP) beschrieben, die dazu ausgelegt ist, die Erkennungsregel auszulösen. Die Befehle und die Erzählung MÜSSEN die identifizierten TTPs direkt widerspiegeln und sollen die genaue Telemetrie erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht verwandte Beispiele führen zu Fehldiagnosen.

• Angriffsszenario & Befehle: Der Angreifer hat anfänglichen Zugriff erlangt und versucht, ScreenConnect für einen persistierenden Fernzugriff bereitzustellen. Um Benutzerunterbrechungen und Erkennungen zu vermeiden, verwendet der Angreifer msiexec.exe mit dem /qn (quiet, no UI)-Flag, um ein bösartiges MSI-Paket zu installieren. Sobald die Installation initiiert ist, versucht der Angreifer, die Hauptverteidigung des Hosts zu neutralisieren, indem er PowerShell verwendet, um einen Windows Defender-Ausschluss für ihr Tool-Verzeichnis hinzuzufügen, und dann versucht, den Windows Defender-Dienst vollständig zu stoppen, um das Echtzeit-Scanning ihres nachfolgenden Toolkits zu verhindern.

• Regressionstestskript:

  # Simulationsskript: ScreenConnect Silent Install & Defense Evasion
  
  # 1. Erstellen Sie eine Dummy-MSI-Datei zu Simulationszwecken (Simulierung des ScreenConnect-Installationsprogramms)
  # In einem echten Test würde ein gültiges MSI verwendet werden.
  $msiPath = "$env:TEMPScreenConnect_Sim.msi"
  Write-Host "[+] Erstelle Dummy-MSI bei $msiPath"
  # Hinweis: Dies ist eine Platzhalterlogik. Für echte Telemetrie muss ein echtes MSI vorhanden sein.
  
  # 2. Führen Sie stille MSI-Installation aus (Auslöser: selection_processname_msi)
  Write-Host "[+] Führe stille MSI-Installation aus..."
  Start-Process msiexec.exe -ArgumentList "/i $msiPath /qn" -Wait
  
  # 3. PowerShell-Verteidigungsumgehung - Ausschluss hinzufügen (Auslöser: selection_powershell_exclusion)
  Write-Host "[+] Versuche, einen Defender-Ausschluss über PowerShell hinzuzufügen..."
  powershell.exe -Command "Add-MpPreference -ExclusionPath 'C:Program FilesScreenConnect'"
  
  # 4. PowerShell-Verteidigungsumgehung - Defender-Dienst stoppen (Auslöser: selection_stop_defender)
  Write-Host "[+] Versuche, den Windows Defender-Dienst zu stoppen..."
  powershell.exe -Command "Stop-Service -Name WinDefend"

• Bereinigungskommandos:

  # Bereinigung von Simulationsartefakten
  Remove-Item -Path "$env:TEMPScreenConnect_Sim.msi" -ErrorAction SilentlyContinue
  # Hinweis: Das Zurücksetzen von Defender-Änderungen erfordert Administratorrechte und könnte die Sicherheitslage beeinträchtigen.
  # Nur durchführen, wenn in einer strikt isolierten Laborumgebung.
  Write-Host "[!] Bereinigung abgeschlossen. Manuelle Wiederherstellung der Defender-Einstellungen empfohlen."