Злоумышленники используют популярное решение для удаленного управления ConnectWise ScreenConnect для скрытного распространения шпионских программ в американских организациях. Эксперты по кибербезопасности обнаружили масштабную кампанию с использованием модифицированных установщиков этого программного обеспечения, которые доставляют вредоносные нагрузки, включая AsyncRAT и пользовательскую версию PowerShell RAT.
Описание
Анализ показал, что атакующие размещают троянизированные установщики в открытых директориях, используя их как платформы для распространения вредоносного кода. Были идентифицированы по меньшей мере восемь инфраструктурных хостов, связанных с этой деятельностью, включая 176.65.139[.]119, 45.74.16[.]71 и 164.68.120[.]30. На этих серверах обнаружены многочисленные файлы с похожими названиями, такие как logs.ldk и logs.idr, размером от 60 КБ до 3 МБ.
Особенностью кампании стало использование двух путей выполнения: загрузка сборки .NET в память для систем с защитой антивируса и нативная инъекция через libPK.dll::Execute для остальных случаев. Для обеспечения устойчивости атаки злоумышленники создавали частые задания в планировщике задач с интервалом каждые 2-10 минут.
Сетевые коммуникации AsyncRAT охватывают как стандартные порты (21/80/111/443), так и множество кратковременных портов в диапазоне 30000-60000, часто с использованием шифрования TLS. Это указывает на сложную инфраструктуру управления и контроля, предназначенную для долгосрочной эксплуатации.
Исследователи также выявили механизмы фишинга, которые используют поддельные уведомления от IRS и USPS для доставки установщиков ScreenConnect. Перенаправление через вредоносный редиректор, такой как police.html, приводило к внешним ресурсам, которые загружали вредоносные нагрузки с помощью схемы ClickOnce.
Анализ шестимесячной телеметрии показал устойчивую инфраструктуру AsyncRAT с ротацией портов, TLS-шифрованием и автоматизированным развертыванием. Такая тактика демонстрирует переход от случайных атак к целенаправленным и скрытным операциям, нацеленным на критически важные организации.
Для защиты эксперты рекомендуют применять строгое разрешительное управление для установщиков и инструментов удаленного управления, блокировать подозрительные шаблоны загрузки, такие как /Bin/, и развертывать поведенческие системы обнаружения. Важно ограничить выполнение скриптов из общедоступных папок и усилить мониторинг сетевой активности на нестандартных портах.
Обнаруженная кампания подчеркивает необходимость перехода от сигнатурных методов обнаружения к комплексному анализу поведения и оперативных методик противника. Фокусировка на тактиках, методах и процедурах (TTP) позволит эффективнее противостоять развивающимся угрозам, использующим легитимное программное обеспечение в вредоносных целях.
Индикаторы компрометации
