Фишинговые приглашения на встречи приводили к установке легальных средств удалённого управления

Тематику приманок подбирали под привычные рабочие сценарии. Встречались запросы на совещание и ответы на приглашения, поздравительные открытки, установка Zoom и Google Meet, обновление Adobe Acrobat, предложения о работе, документы на согласование, уведомления о доставке грузов и налоговые справки. Жертву заманивали на подставные страницы, копирующие порталы для обмена документами. Оттуда файл скачивался с серверов злоумышленников, со взломанных сайтов или из легальных облачных хранилищ. Такой набор площадок позволял быстро менять инфраструктуру, не меняя сам установщик.

По данным Microsoft Defender Experts, исполняемый файл получал имя, похожее на деловой документ, счёт или приглашение. Пользователь запускал его вручную. Затем требовалось подтвердить повышение прав, и после согласия установщик разворачивал службы удалённого управления. Агент прописывался в системе надолго, добавлял записи автозапуска и правило брандмауэра для входящих подключений. Если сотрудник отказывался повышать права, установка обрывалась, и закрепления не происходило.

Средства удалённого мониторинга и управления ценны для администраторов: они дают запуск команд, установку программ, передачу файлов и постоянный доступ к парку устройств. Те же возможности привлекают злоумышленников. Сразу после закрепления агент обратился к встроенному механизму сценариев и скачал пакет ConnectWise ScreenConnect. Установка прошла без окон и запросов, поэтому пользователь ничего не заметил. Так на машине появился второй, резервный канал управления, независимый от первого. Уязвимости в самом клиенте ScreenConnect не использовали: атакующие опирались на легальные функции программы.

Через второй канал переносили дополнительные утилиты. Имена многих из них копировали системные компоненты Windows, обновления и защитные средства. Часть инструментов предназначалась для извлечения паролей, включая сохранённые в браузерах, для сбора локальных данных и запуска новых программ. Другие помогали скрыть активность от самого пользователя: убрать значки из панели управления, спрятать курсор и окна, отключить защитные механизмы. Отдельные файлы отвечали за доступ к камере и синхронизацию с телефоном. Все они запускались штатной функцией удалённого клиента, которая создана для передачи и исполнения файлов на подчинённых устройствах.

Схема не ограничилась одним продуктом. В том же месяце зафиксировали похожий случай с легальным средством развёртывания Faronics Deploy. Его тоже использовали как первичное средство доступа, а затем через него поставили ConnectWise ScreenConnect. Значит, атакующие действуют по шаблону и выбирают любые доверенные программы администрирования, к которым удаётся получить доступ.

Для организаций риск двойной. Доверенное административное ПО редко блокируют, поэтому подозрительных записей в журналах почти нет. Кроме того, у злоумышленников остаётся запасной канал: отключение одного агента не лишает их доступа. На практике это означает длительное присутствие в сети, кражу учётных данных и постепенную подготовку к более серьёзным действиям. Масштаб ущерба зависит от того, какие системы оказались под управлением: бухгалтерия, кадры, инженерные рабочие станции или серверы.

Microsoft не связала кампанию с конкретной группой и относит её к неатрибутированной активности. Защита здесь строится на порядке в собственном хозяйстве. Компании полезно точно знать, какие средства удалённого управления разрешены, и блокировать появление остальных. Помогают ограничение прав обычных сотрудников, двухфакторная аутентификация, обновление браузеров и офисных программ, а также настороженное отношение к письмам с приглашениями и документами от незнакомых отправителей. Периодический просмотр установленных служб показывает, не появились ли новые агенты администрирования. Средства защиты Microsoft фиксируют необычные и редкие обращения к подобным инструментам, однако аномальная активность доверенных программ заметна только при постоянном мониторинге.