ScreenConnect Apparaît sur des Hôtes Non Liés dans une Activité Suspectée de Type Ver

Résumé

Les acteurs de la menace déploient des instances ScreenConnect malveillantes qui affichent un comportement de type ver pour se propager à travers les systèmes connectés. Après la compromission d’une machine, le client ScreenConnect modifié transfère automatiquement et exécute une chaîne de scripts VBScript à plusieurs étapes sur les points d’accès nouvellement connectés. La campagne combine l’ingénierie sociale et l’abus de RMM pour maintenir la persistance et livrer des charges supplémentaires, y compris des voleurs de mots de passe et des mineurs de cryptomonnaies.

Enquête

Huntress a identifié une activité de processus suspecte dans laquelle les clients ScreenConnect ont lancé wscript.exe pour exécuter une série de fichiers VBScript nommés 1.vbs à 4.vbs. L’analyse a montré que les scripts profilent les systèmes infectés, vérifient les produits EDR, et récupèrent des charges mises en scène à partir de Dropbox. Les clients ScreenConnect modifiés ont ensuite été utilisés pour propager les scripts aux hôtes nouvellement connectés.

Atténuation

Les administrateurs doivent surveiller de près les déploiements ScreenConnect sur site et examiner les journaux d’audit à la recherche d’activités anormales. En particulier, les défenseurs devraient rechercher des entrées RunFiles or RanFiles associées aux noms de fichiers VBScript identifiés exécutés depuis le processus Guest . Les organisations devraient également appliquer des contrôles stricts sur les outils RMM et les utilitaires de support à distance tels que Quick Assist.

Réaction

Les hôtes affectés doivent être réimagés en utilisant un support connu pour être bon ou restaurés via une installation propre du système d’exploitation. Les équipes de sécurité doivent immédiatement examiner les journaux d’audit de ScreenConnect pour trouver des preuves d’exécution de scripts suspects. Toute activité anormale wscript.exe ou PowerShell survenant après une connexion RMM doit également être traitée comme un incident de sécurité hautement prioritaire.

Exécution de Simulation

Prérequis : La Vérification Pré-Vol de Télémétrie & de Référence doit avoir réussi.

Rationnel : Cette section détaille l’exécution précise de la technique d’adversaire (TTP) conçue pour déclencher la règle de détection. Les commandes et le récit DOIVENT refléter directement les TTP identifiés et viser à générer la télémetrie exacte attendue par la logique de détection. Des exemples abstraits ou non connexes entraîneront un mauvais diagnostic.

• Narratif & Commandes d’Attaque : Un adversaire a obtenu un accès initial à un poste de travail. Pour échapper à la détection par les règles EDR de base qui surveillent l’exécution directe de powershell.exe , ils déposent un fichier VBScript qui exploite l’outil intégré Windows Script Host. Le VBScript est conçu pour exécuter un script PowerShell secondaire nommé runner.ps1. Ce script est destiné à charger un module de vol d’identifiants en mémoire. En utilisant wscript.exe comme parent, l’attaquant tente de se fondre dans l’activité administrative standard de Windows.

• Script de Test de Régression :

  # Créer un fichier 'runner.ps1' fictif pour satisfaire l'exigence de chaîne de la logique de détection
  $dummyScript = "$PSScriptRootrunner.ps1"
  New-Item -Path $dummyScript -ItemType File -Force
  Set-Content -Path $dummyScript -Value "Write-Host 'Simulation de l'Exécution de la Charge'"
  
  # Créer un VBScript qui appelle le script PowerShell
  # Cela imite la méthode de l'attaquant d'utiliser WSH pour lancer PowerShell
  $vbsContent = @"
  Set objShell = CreateObject("WScript.Shell")
  objShell.Run "powershell.exe -ExecutionPolicy Bypass -File ""$dummyScript""", 0, True
  "@
  $vbsFile = "$PSScriptRootlauncher.vbs"
  Set-Content -Path $vbsFile -Value $vbsContent
  
  # Exécuter le VBScript via wscript.exe pour déclencher la règle de détection
  Write-Host "[!] Exécution de la simulation via wscript.exe..."
  Start-Process "wscript.exe" -ArgumentList "`"$vbsFile`""

• Commandes de Nettoyage :

  # Supprimer les artefacts de simulation
  Remove-Item -Path "$PSScriptRootrunner.ps1" -ErrorAction SilentlyContinue
  Remove-Item -Path "$PSScriptRootlauncher.vbs" -ErrorAction SilentlyContinue
  Write-Host "[+] Nettoyage terminé."