ScreenConnect erscheint auf nicht verknüpften Hosts in verdächtiger wurmartiger Aktivität

Zusammenfassung

Bedrohungsakteure setzen feindliche ScreenConnect-Instanzen ein, die wurmähnliches Verhalten zeigen, um sich über verbundene Systeme zu verbreiten. Nachdem eine Maschine kompromittiert wurde, überträgt und führt der modifizierte ScreenConnect-Client automatisch eine mehrstufige VBScript-Kette auf neu verbundenen Endpunkten aus. Die Kampagne kombiniert Social Engineering und den Missbrauch von RMM, um Persistenz aufrechtzuerhalten und zusätzliche Nutzlasten, einschließlich Anmeldeinformationsdieben und Kryptowährungs-Minern, bereitzustellen.

Untersuchung

Huntress identifizierte verdächtige Prozessaktivitäten, bei denen ScreenConnect-Clients wscript.exe ausführten, um eine Abfolge von VBScript-Dateien namens 1.vbs bis 4.vbszu starten. Die Analyse zeigte, dass die Skripte infizierte Systeme profilieren, nach EDR-Produkten suchen und gestufte Nutzlasten von Dropbox abrufen. Modifizierte ScreenConnect-Clients wurden dann verwendet, um die Skripte auf neu verbundene Hosts zu verbreiten.

Minderung

Administratoren sollten Vor-Ort-ScreenConnect-Bereitstellungen genau überwachen und Prüfprotokolle auf anomale Aktivitäten überprüfen. Insbesondere sollten Verteidiger nach RunFiles or RanFiles Einträgen suchen, die mit den identifizierten VBScript-Dateinamen verknüpft sind und vom Guest Prozess ausgeführt werden. Organisationen sollten auch strenge Kontrollen über RMM-Tools und Fernunterstützungsprogramme wie Quick Assist durchsetzen.

Reaktion

Betroffene Hosts sollten mit bekannten, guten Medien neu verarbeitet oder durch eine saubere Betriebssysteminstallation wiederhergestellt werden. Sicherheitsteams sollten sofort die ScreenConnect-Prüfprotokolle auf Hinweise auf verdächtige Skriptausführungen überprüfen. Jegliche abnormale wscript.exe oder PowerShell-Aktivität, die nach einer RMM-Verbindung auftritt, sollte ebenfalls als hochprioritärer Sicherheitsvorfall behandelt werden.

Simulationsausführung

Voraussetzung: Der Telemetrie- & Basislinien-Vorflugcheck muss bestanden werden.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der Angreifertechnik (TTP), die den Erkennungsregel auslösen soll. Die Befehle und Erzählungen MÜSSEN direkt die identifizierten TTPs widerspiegeln und darauf abzielen, die exakte Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird. Abstrakte oder nicht verwandte Beispiele führen zu Fehldiagnosen.

• Angriffs-Narrativ & Befehle: Ein Angreifer hat anfänglichen Zugriff auf einen Arbeitsrechner erlangt. Um der Erkennung durch grundlegende EDR-Regeln, die auf direkte powershell.exe Ausführung achten, zu entgehen, legen sie eine VBScript-Datei ab, die den integrierten Windows-Skripthost nutzt. Das VBScript ist dazu ausgelegt, ein sekundäres PowerShell-Skript namens runner.ps1auszuführen. Dieses Skript soll ein Anmeldeinformations-Dumping-Modul in den Speicher laden. Durch die Verwendung von wscript.exe als Elternprozess versucht der Angreifer, sich in die Standard-Windows-Administrativaktivität einzufügen.

• Regressionstest-Skript:

  # Erstellen Sie eine Dummy-Datei 'runner.ps1', um die String-Anforderung der Erkennungslogik zu erfüllen
  $dummyScript = "$PSScriptRootrunner.ps1"
  New-Item -Path $dummyScript -ItemType File -Force
  Set-Content -Path $dummyScript -Value "Write-Host 'Simulating Payload Execution'"
  
  # Erstellen Sie ein VBScript, das das PowerShell-Skript aufruft
  # Dies imitiert die Methode des Angreifers, WSH zu verwenden, um PowerShell zu starten
  $vbsContent = @"
  Set objShell = CreateObject("WScript.Shell")
  objShell.Run "powershell.exe -ExecutionPolicy Bypass -File ""$dummyScript""", 0, True
  "@
  $vbsFile = "$PSScriptRootlauncher.vbs"
  Set-Content -Path $vbsFile -Value $vbsContent
  
  # Führen Sie das VBScript über wscript.exe aus, um die Erkennungsregel auszulösen
  Write-Host "[!] Simulation wird über wscript.exe ausgeführt..."
  Start-Process "wscript.exe" -ArgumentList "`"$vbsFile`""

• Säuberungsbefehle:

  # Entfernen Sie die Simulationsartefakte
  Remove-Item -Path "$PSScriptRootrunner.ps1" -ErrorAction SilentlyContinue
  Remove-Item -Path "$PSScriptRootlauncher.vbs" -ErrorAction SilentlyContinue
  Write-Host "[+] Säuberung abgeschlossen."