Clique, Instale, Comprometido: A Nova Onda de Ataques Temáticos do Zoom

Resumo

Atores de ameaças estão explorando convites falsos de reuniões do Zoom para entregar um downloader VBS malicioso que instala o ConnectWise ScreenConnect, uma aplicação legítima de acesso remoto. O payload VBS faz o download do ScreenConnect MSI a partir de uma infraestrutura controlada pelo atacante e o executa a partir do TEMP diretório da vítima. Depois que a ferramenta de acesso remoto é instalada, os atacantes obtêm acesso persistente ao sistema, permitindo roubo de credenciais, reconhecimento e entrega de malware subsequente, como ransomware.

Investigação

A Cofense identificou e-mails de phishing que direcionavam as vítimas para uma página falsa do Zoom, solicitando que elas instalassem uma atualização falsa. Essa atualização entregou um arquivo VBS chamado _zoommeeting_Zoom_Installer_64_bit.exe.vbs, que continha um URL hard-coded apontando para um endereço IP malicioso hospedando o ScreenConnect.ClientSetup.msi instalador. O script então executou o MSI através do Windows Script Host em uma janela oculta para evitar chamar a atenção.

Mitigação

As organizações devem implantar controles de segurança de e-mail que possam detectar e bloquear iscas de phishing temáticas do Zoom, exigir autenticação multifator para ferramentas de acesso remoto e restringir a execução de scripts VBS a partir de diretórios graváveis por usuários. Os defensores também devem monitorar o tráfego de rede para comunicação com domínios e IPs maliciosos conhecidos e aplicar listas de permissões de aplicativos para controlar software legítimo de administração remota.

Resposta

Se essa atividade for detectada, isole o endpoint afetado imediatamente, remova o arquivo VBS malicioso e quaisquer componentes do ScreenConnect instalados, e redefina as credenciais comprometidas. Os investigadores devem então realizar uma análise forense para determinar se malware adicional foi implantado ou se dados foram exfiltrados. As políticas de acesso remoto também devem ser revisadas e fortalecidas, e o conteúdo de detecção deve ser atualizado com os indicadores de comprometimento observados.

Execução de Simulação

Pré-requisito: O Check pré-vôo de Telemetria & Baseline deve ter sido aprovado.

Justificativa: Esta seção detalha a execução precisa da técnica do adversário (TTP) projetada para acionar a regra de detecção. Os comandos e a narrativa DEVEM refletir diretamente as TTPs identificadas e visam gerar exatamente a telemetria esperada pela lógica de detecção.

Narrativa de Ataque & Comandos

1. Entrega Inicial: A vítima recebe um e-mail de phishing intitulado “Reunião Zoom – Instalar Atualização”. O anexo é um script VBS chamado _zoommeeting_Zoom_installer_64_bit.exe.vbs.
2. Execução: O usuário dá um duplo clique no arquivo VBS, que invoca cscript.exe para executar o script. O script deixa na máquina dois payloads em %TEMP%:
   • ScreenConnect.ClientSetup.msi – o instalador da ferramenta de Acesso Remoto malicioso.
   • Uma segunda porta dos fundos PowerShell (não faz parte desta regra).
3. Instalação: O script VBS inicia silenciosamente msiexec.exe para instalar o ScreenConnect.ClientSetup.msi com /quiet. Isso cria um novo evento de criação de processo cuja Imagem termina com ScreenConnect.ClientSetup.msi, satisfazendo a condição da regra.

Script de Teste de Regressão

# --------------------------------------------------------------
#  Script de Simulação – Aciona "ScreenConnect.ClientSetup.msi"
#  e "_zoommeeting_Zoom_installer_64_bit.exe.vbs" detecções
# --------------------------------------------------------------

# 1. Preparar payloads (em um teste real estes seriam os arquivos maliciosos)
$payloadDir = "$env:TEMPZoomPhish"
New-Item -Path $payloadDir -ItemType Directory -Force | Out-Null

# Arquivos fictícios para emular os nomes maliciosos (os hashes podem ser adicionados posteriormente)
$msiPath   = Join-Path $payloadDir "ScreenConnect.ClientSetup.msi"
$vbscript  = Join-Path $payloadDir "_zoommeeting_Zoom_installer_64_bit.exe.vbs"

# Criar arquivos vazios fictícios (substituir por payloads reais para teste ao vivo)
New-Item -Path $msiPath -ItemType File -Force | Out-Null
Set-Content -Path $vbscript -Value @"
' VBS dropper – grava o MSI em disco e o lança
Set objFSO = CreateObject("Scripting.FileSystemObject")
strTemp = objFSO.GetSpecialFolder(2) ' %TEMP%
objFSO.CopyFile "%~dp0ScreenConnect.ClientSetup.msi", strTemp & "ScreenConnect.ClientSetup.msi"
Set objShell = CreateObject("WScript.Shell")
objShell.Run "msiexec /i """ & strTemp & "ScreenConnect.ClientSetup.msi"" /quiet", 0, False
"@ -Encoding ASCII

# 2. Executar o dropper VBS (isso, por sua vez, iniciará o msiexec)
cscript.exe //B //Nologo $vbscript

Write-Host "`n[+] Simulação executada – a detecção deve ativar agora." -ForegroundColor Green

Comandos de Limpeza

# --------------------------------------------------------------
#  Limpeza – remove artefatos criados pela simulação
# --------------------------------------------------------------

$payloadDir = "$env:TEMPZoomPhish"

# Parar quaisquer processos msiexec restantes iniciados pelo teste
Get-Process -Name msiexec -ErrorAction SilentlyContinue | Stop-Process -Force

# Remover arquivos e diretórios temporários
Remove-Item -Path $payloadDir -Recurse -Force -ErrorAction SilentlyContinue

Write-Host "`n[+] Limpeza completa." -ForegroundColor Yellow