Backdoor ScreenConnect Distribuito Tramite Email Dannosa

Sommario

Una campagna di phishing via email impersona l’Amministrazione della Sicurezza Sociale per consegnare un payload dannoso. Le vittime vengono reindirizzate a un sito web falso che le invita a scaricare un installer client personalizzato di ScreenConnect. Una volta installato, il software funziona come una backdoor, fornendo agli attaccanti accesso remoto persistente al sistema compromesso.

Investigazione

L’indagine ha esaminato le intestazioni delle email dannose, il sito web di phishing e il traffico di rete associato. Gli analisti hanno identificato un indirizzo IP specifico utilizzato per inviare le email di phishing e un dominio che ospita la pagina di destinazione falsa della SSA. L’analisi della rete ha anche confermato comunicazioni criptate di ScreenConnect sulla porta 443.

Mitigazione

Le organizzazioni dovrebbero implementare filtri email robusti per bloccare i tentativi di phishing e limitare l’accesso a domini noti come dannosi. Gli utenti dovrebbero essere addestrati a identificare indirizzi mittenti falsificati ed evitare link in email non richieste. Limitare o controllare l’installazione di strumenti di amministrazione remota come ScreenConnect può ridurre ulteriormente la superficie d’attacco.

Risposta

Se viene rilevata attività dannosa, l’host interessato dovrebbe essere isolato immediatamente per interrompere ulteriori comunicazioni di comando e controllo. I soccorritori dovrebbero eseguire un’analisi forense completa per determinare l’entità della compromissione. Le credenziali potenzialmente esposte dovrebbero essere revocate e i sistemi dovrebbero essere controllati per ulteriori meccanismi di persistenza introdotti durante la sessione remota.

Esecuzione della Simulazione

• Narrativa dell’Attacco & Comandi: L’avversario ha stabilito una posizione stabile sul sistema e intende utilizzare un’istanza di ScreenConnect per mantenere l’accesso remoto. Per eludere il rilevamento standard che cerca IP dannosi noti, utilizzano il meccanismo relay ufficiale di ScreenConnect. L’attaccante esegue una connessione a instance-udppxf-relay.screenconnect.com sulla porta 443. Questa azione è progettata per sembrare un traffico web crittografato legittimo, ma corrisponde specificamente al dominio target definito nella regola di rilevamento.

• Script di Test di Regressione:

  # Script di Simulazione: Attivazione del Rilevamento del Dominio ScreenConnect
  # Questo script tenta di connettersi al dominio specifico mirato dalla regola.
  
  $TargetDomain = "instance-udppxf-relay.screenconnect.com"
  $Port = 443
  
  Write-Host "Tentativo di connessione a $TargetDomain sulla porta $Port per attivare il rilevamento..." -ForegroundColor Cyan
  
  try {
      # Usiamo un client TCP per simulare il tentativo di connessione senza bisogno di un intero stack web
      $TcpClient = New-Object System.Net.Sockets.TcpClient
      $Connect = $TcpClient.BeginConnect($TargetDomain, $Port, $null, $null)
      $Success = $Connect.AsyncWaitHandle.WaitOne(5000, $false)
  
      if ($Success) {
          Write-Host "Connessione stabilita con successo a $TargetDomain. Il rilevamento dovrebbe attivarsi." -ForegroundColor Green
          $TcpClient.EndConnect($Connect)
          $TcpClient.Close()
      } else {
          Write-Host "Timeout di connessione. Il dominio potrebbe essere offline, ma il tentativo dovrebbe comunque essere registrato dal firewall." -ForegroundColor Yellow
      }
  } catch {
      Write-Host "Si è verificato un errore: $($_.Exception.Message)" -ForegroundColor Red
  }

• Comandi di Pulizia:

  # Nessun cambiamento persistente è stato effettuato dallo script. 
  # Basta assicurarsi che la connessione TCP sia chiusa (gestita nello script).
  Write-Host "Pulizia della simulazione completata. Nessun artefatto lasciato sull'host." -ForegroundColor Green