ScreenConnect Aparece en Hosts No Relacionados en una Actividad Sospechosa Similar a un Gusano

Resumen

Los actores malintencionados están desplegando instancias falsas de ScreenConnect que muestran un comportamiento similar a un gusano para propagarse a través de sistemas conectados. Después de que una máquina es comprometida, el cliente ScreenConnect modificado transfiere y ejecuta automáticamente una cadena de VBScript de múltiples etapas en los puntos finales recién conectados. La campaña combina la ingeniería social y el abuso de RMM para mantener la persistencia y entregar cargas útiles adicionales, incluyendo ladrones de credenciales y mineros de criptomonedas.

Investigación

Huntress identificó actividad sospechosa de procesos en los cuales los clientes ScreenConnect generaban wscript.exe para ejecutar una secuencia de archivos VBScript llamados 1.vbs hasta 4.vbs. El análisis mostró que los scripts perfilan los sistemas infectados, verifican productos EDR y recuperan cargas útiles en etapas desde Dropbox. Luego se utilizaron clientes ScreenConnect modificados para propagar los scripts a los anfitriones recién conectados.

Mitigación

Los administradores deben monitorear de cerca las implementaciones de ScreenConnect en las instalaciones y revisar los registros de auditoría para detectar actividad anómala. En particular, los defensores deben buscar RunFiles or RanFiles entradas asociadas con los nombres de archivo VBScript identificados ejecutados desde el proceso Guest . Las organizaciones también deben aplicar controles estrictos sobre herramientas RMM y utilidades de soporte remoto como Quick Assist.

Respuesta

Los anfitriones afectados deben ser re-imagen utilizando medios conocidos como buenos o restaurados a través de una instalación limpia del sistema operativo. Los equipos de seguridad deben revisar inmediatamente los registros de auditoría de ScreenConnect para evidencias de ejecución de scripts sospechosos. Cualquier actividad anormal de wscript.exe o PowerShell que ocurra después de una conexión RMM también debe ser tratada como un incidente de seguridad de alta prioridad.

Ejecución de Simulación

Prerequisito: La Verificación Previa de Telemetría y Línea de Base debe haber pasado.

Razonamiento: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTP identificados y apuntar a generar la telemetría exacta esperada por la lógica de detección. Ejemplos abstractos o no relacionados llevarán a un diagnóstico erróneo.

• Narrativa y Comandos de Ataque: Un adversario ha obtenido acceso inicial a una estación de trabajo. Para evadir la detección por reglas básicas de EDR que monitorean la ejecución directa de powershell.exe , dejan caer un archivo VBScript que aprovecha el Host de Scripts de Windows incorporado. El VBScript está diseñado para ejecutar un script secundario de PowerShell llamado runner.ps1. Este script está destinado a cargar un módulo de volcado de credenciales en la memoria. Al usar wscript.exe como padre, el atacante intenta mezclarse con la actividad administrativa estándar de Windows.

• Script de Prueba de Regresión:

  # Crear un archivo 'runner.ps1' ficticio para satisfacer el requisito de cadena de la lógica de detección
  $dummyScript = "$PSScriptRootrunner.ps1"
  New-Item -Path $dummyScript -ItemType File -Force
  Set-Content -Path $dummyScript -Value "Write-Host 'Simulating Payload Execution'"
  
  # Crear un VBScript que llame al script de PowerShell
  # Esto imita el método del atacante de usar WSH para lanzar PowerShell
  $vbsContent = @"
  Set objShell = CreateObject("WScript.Shell")
  objShell.Run "powershell.exe -ExecutionPolicy Bypass -File ""$dummyScript""", 0, True
  "@
  $vbsFile = "$PSScriptRootlauncher.vbs"
  Set-Content -Path $vbsFile -Value $vbsContent
  
  # Ejecutar el VBScript a través de wscript.exe para activar la regla de detección
  Write-Host "[!] Ejecutando simulación vía wscript.exe..."
  Start-Process "wscript.exe" -ArgumentList "`"$vbsFile`""

• Comandos de Limpieza:

  # Eliminar los artefactos de simulación
  Remove-Item -Path "$PSScriptRootrunner.ps1" -ErrorAction SilentlyContinue
  Remove-Item -Path "$PSScriptRootlauncher.vbs" -ErrorAction SilentlyContinue
  Write-Host "[+] Limpieza completa."