Злоумышленники применяют связку из двух инструментов: легитимного ПО удалённого администрирования ScreenConnect и трояна AsyncRAT. Оба дают операторам полный контроль над заражённым хостом. ScreenConnect имеет цифровую подпись и распространён среди администраторов, поэтому его появление в системе обычно не вызывает подозрений. AsyncRAT добавляет функции скрытого управления: запись нажатий клавиш, снятие скриншотов, работу с файлами и выполнение команд.
Описание
Сочетание легитимного инструмента и трояна упрощает задачу атакующего. Использование штатного ПО удалённого администрирования соответствует технике T1219 по классификации MITRE ATT&CK. Фильтры и песочницы, которые блокируют неизвестные файлы, пропускают ScreenConnect благодаря подписи и распространённости. Троян при этом разворачивается на хосте и предоставляет операторам отдельный канал управления.
Ключевой риск кампании - бесшумное закрепление в сети организации. После получения доступа к рабочей станции злоумышленник может похищать документы, перехватывать учётные данные и перемещаться между хостами. Такая активность мало отличается от работы легитимного администратора, особенно если компания уже использует ScreenConnect. AsyncRAT дополнительно облегчает доставку других вредоносных программ, поэтому заражённый компьютер становится стартовой точкой для дальнейших действий в сети.
Для защиты стоит контролировать запуск ScreenConnect на хостах, где регламент не предусматривает его установку. Полезно настроить правила AppLocker или WDAC, которые ограничат запуск неподписанных исполняемых файлов. Поведенческие детекторы выявляют AsyncRAT по нестандартным именам процессов и инъекциям в рабочие процессы, а мониторинг сетевых соединений показывает обращения к незнакомым командно-контрольным серверам.
Индикаторы компрометации
IPv4
- 185.254.97.249
- 198.23.185.81
- 45.145.41.205
Domain
- all-toll-free.loseyourip.com
- all-toll-free.publicvm.com
- antimicrox.net
- antimicrox.pro
- apexlegends.org
- arksurvival-ascended.com
- arma-reforger.com
- bandicam.app
- bandicam.cc
- bandicam.io
- bandizip.net
- bandizip.pro
- clair-obscur-33.com
- clair-obscur-33.town
- cloudsynn.com
- corel-draw.net
- cpuz.app
- cpuz.pro
- crosshair-x.com
- crosshairx.net
- crosshairx.pro
- crosshairx.site
- crosshairx2.com
- crosshairxv2.com
- crusader-kings.church
- crusader-kings.com
- crystaldiskmark.app
- crystaldiskmark.cc
- crystaldiskmark.dev
- crystaldiskmark.io
- crystaldiskmark.pro
- deadreset.com
- defendercontrol.app
- defender-control.com
- defendercontrol.download
- defendercontrol.org
- defendercontrol.pro
- direct-download.giize.com
- dnsjumper.app
- dns-jumper.com
- dnsjumper.io
- dnsjumper.pro
- download-full-version.ooguy.com
- ds4windows.io
- ds4windows.net
- ds4windows.pro
- edgeserv.ru
- ehostservers.xyz
- elden-ringnightreign.com
- ferdium.app
- ferdium.pro
- fernbus-simulator.com
- file-download-crosshairx.giize.com
- fileget.loseyourip.com
- free-download.camdvr.org
- glary-utilities.com
- gom-player.app
- gom-player.net
- km-player.com
- km-player.pro
- kms-tools.com
- kms-tools.net
- libreoffice.pro
- losslessscaling.app
- lossless-scaling.app
- lossless-scaling.download
- lossless-scaling.online
- losslessscaling.pro
- managedevice.xyz
- manageserver.xyz
- mediaplayerclassic.net
- mediaplayerclassic.pro
- mgba.app
- mgba.dev
- mgba.pro
- monster-hunterwilds.com
- mora1987.work.gd
- mpc-update.giize.com
- obs-studio.pro
- obs-studio.site
- ovr-advanced-settings.com
- ovr-toolkit.com
- pingpanl.pro
- pingserv.pro
- processhacker.app
- processhacker.dev
- processhacker.net
- processhacker.org
- r.manage-server.xyz
- ready-ornot.com
- serverdnsplan.net
- servermanagemen.xyz
- steamtools.cc
- steamtools.pro
- studioobs.com
- studio-obs.com
- studio-obs.net
- studioobs.pro
- studio-obs.pro
- tmodloader.app
- tmod-loader.com
- tmodloader.download
- tmodloader.org
- tmodloader.pro
- vlc-media.com
- vlc-media.net
- vlc-player.net
- wallpaper-engine.app
- winservec.net
SHA256
- 31acad47eec07ff525313eb863806a07e37c5cbab59df809c5fb6f07b265f55a
- 340d24efd50d67c56a657c00d8e060c34204e0a4132639fb9ca2fb131c6615f1
- 39527d9c7ec527dd8f36a3c4f86af0812abfe673fc568b6cff4cb05b3ca2d81a
- 3cbd65ae3ff5039324b03a66947a1d1b808ea5ddb09da917ed8f1323c34e80f7
- 3d42a18bea2e4df9223d1963755224ef2a81c900b5e389d394dac0dea6658877
- 5b95e1d05d913676e9ebbd897a403ddfa6476524651a038d08ecebde29159b9a
- 674fd71148a05177e5c26fa4d37a03e257eae5ac466c4bf1702202f2520b85b7
- 6ed15aec7504081c3e14a9f6064d7b754aa283e4adb1a59edf3beff65369bc55
- 6edefb2712ade6c028f53410118bf093e282c0f306e3c85e4d0ae3b0a0a8104a
- 7c325b5f34890254ba39449a6262e16f0ba542d9e62f6e8283f3710edff2322d
- 7f53fade6f3942f710b230d52a574fc6066ea282e739e417ca039800dc1bb08e
- 7ff71d0a4b31790d20276f0f01d697df221ab245cc8453a3534669891b33cd47
- a5042b3c653e32e8872f9eacee2a7ff636890b57cf82c24c27cd55419e2278e0
- b5d009f8239cea944660650f1e692ea417e302035fa6de9776490c2f1c30da8c
- cfa37350d3818f2eaa669c3e855cf1601df47b99a88b79e05cd9b6fdfbbf36f2
- d459800bcb55255b16e403efed0d1095b34604a0dfa5d1807cf1d5be7711b76e
- d60e1b44b29bcb391c0f6bd0e8a734ff06773976186215f87878f5d0ae4233f4
- dfdbfa4f0e436d5c12c38627dec0f006b304fdb097bd060440669ff98c3b0cc9
- ea0e6ceba1b7e985e98028e7545460a7a01979cc09f2e8947292603752789edc
- f008cc24e4c91d3196c3f33d68859f528a163f53021b414d7662dc2ae9b6f03e
