Поддельные обновления Google Meet и Microsoft Store распространяют программу удаленного доступа ScreenConnect

Схема атаки начинается с того, что пользователь переходит на сайт, имитирующий страницу видеоконференции, например Google Meet. На первый взгляд все выглядит как обычно: интерфейс зала ожидания, кнопки включения камеры и микрофона. При попытке присоединиться к встрече сайт просит разрешить доступ к камере и микрофону, что выглядит естественно для видеосервиса. После этого появляется всплывающее окно, которое сообщает о необходимости установить обновление для корректной работы. Таймер и полоса прогресса создают впечатление настоящей загрузки, а затем на компьютер загружается установщик ScreenConnect.

Как выяснили аналитики LevelBlue OpsCTI Team, кампания использует десятки вариантов поддельных страниц, повторяющих оформление не только видеосервисов, но и систем электронного документооборота, сервисов электронных подписей и даже приглашений на мероприятия. Некоторые страницы маскируются под Microsoft Store или Apple App Store и предлагают "обновить" популярные приложения вроде Docusign или Secure Access Manager. При этом установщики ScreenConnect размещаются как на собственных серверах злоумышленников, так и в публичных облачных хранилищах Amazon S3 и Cloudflare R2, что затрудняет блокировку по спискам доменов.

Особенность кампании - сбор подробной информации о жертве до начала загрузки. Скрипты на страницах определяют операционную систему, тип устройства, браузер и географическое положение. Если пользователь заходит с мобильного устройства или Mac, его перенаправляют на безвредную страницу, чтобы не рисковать обнаружением. Только владельцы Windows-компьютеров видят финальный этап с установкой ScreenConnect. Собранные данные немедленно отправляются в Telegram-боты, управляемые мошенниками, что позволяет им отслеживать активность и выбирать наиболее удачный момент для атаки.

Установленная программа ScreenConnect автоматически подключается к серверу, принадлежащему злоумышленникам. С этого момента они получают возможность просматривать экран, управлять мышью и клавиатурой, открывать файлы и запускать другие вредоносные программы. Поскольку ScreenConnect является легальным инструментом, используемым системными администраторами, его появление в системе не всегда воспринимается антивирусами как угроза. Это делает атаку особенно опасной для организаций, где подобное ПО не санкционировано.

В ходе анализа инфраструктуры кампании обнаружены признаки использования искусственного интеллекта для создания скриптов. Код содержит структурированные комментарии и единый стиль оформления, что позволяет предположить применение больших языковых моделей. Также выявлены повторно используемые фрагменты страниц и общая структура каталогов на тысячах сайтов, что указывает на централизованное управление кампанией.

Для защиты от подобных атак рекомендуется регулярно обновлять операционные системы и браузеры, а также следить за появлением в корпоративной сети несанкционированных установок ScreenConnect. Стоит ограничить загрузку исполняемых файлов из облачных хранилищ, особенно если она происходит через web-интерфейсы, не связанные с официальными источниками. Дополнительно полезно внедрить фильтрацию доступа к сайтам, имитирующим известные бренды, и проводить обучение сотрудников основам кибербезопасности.

Подобные кампании показывают, как мошенники адаптируют свои методы: вместо кражи паролей они сразу переходят к установке инструментов удаленного управления. Использование легитимного программного обеспечения и облачных сервисов делает атаки менее заметными и более эффективными. Организациям необходимо учитывать эти угрозы при построении защиты конечных точек.