Злоумышленники обманом заставляют сотрудников устанавливать вредоносные RMM-инструменты

Особую озабоченность экспертов вызывает рост инцидентов с компрометацией ScreenConnect. Хотя в конце сентября был отмечен всплеск таких атак, на протяжении всего года наблюдался стабильный поток подобных случаев. Злоумышленники используют три основных вектора: прямые атаки на платформы RMM, захват уже установленного на компьютерах жертв легитимного ПО и, что особенно актуально, обман сотрудников для установки контролируемого злоумышленниками RMM. Именно последняя тактика, основанная на фишинге и социальной инженерии, становится ключевой.

Аналитики Huntress выделили несколько повторяющихся типов приманок (lures), которые используются в 2025 году для того, чтобы убедить сотрудников запустить вредоносный исполняемый файл, замаскированный под документ. Классические темы остаются эффективными. Например, часто встречаются приманки, связанные с выписками из Социального страхования. В апреле сотрудник страхового агентства запустил подозрительный процесс после загрузки файла с названием "Social_Security_Statements_April2025_Updates.Client.exe", который оказался переименованным клиентом ScreenConnect.

Другой популярный сценарий - приглашения на мероприятия. В мае в компании-застройщике был зафиксирован запуск файла "special invitation letter(2).exe". Анализ показал, что это была вредоносная установка ScreenConnect, доставленная через фишинг. Не теряют актуальности и приманки, связанные со счетами и финансовыми отчетами. В январе в розничной компании несколько сотрудников стали жертвами целевой фишинговой атаки с файлом "RevisedStatementJAN2025.exe". Примечательно, что некоторые пользователи загружали этот вредоносный файл по несколько раз.

Исследование также показало, что злоумышленники активно повторно используют одни и те же домены в атаках на множество различных компаний. Например, с 13 января по 5 февраля 2025 года инстансы ScreenConnect, связанные с доменом "lory473[.]top", были обнаружены в 15 различных организациях. Более того, анализ данных по этому домену выявил целевую атаку на фирмы из сектора бухгалтерского учета, что говорит о предварительном сборе информации и выборе жертв. Также отмечено активное использование доменов динамического DNS, таких как "Zapto[.]org", которые позволяют атакующим скрывать свою инфраструктуру.

Типичный сценарий атаки выглядит так: в мае SOC Huntress обнаружил вредоносную установку ScreenConnect, инициированную через URL-адрес Google Docs. Жертва получила фишинговое письмо в Outlook, которое открывало в Chrome страницу с приманкой-приглашением. На странице была кнопка «Download Invitation», нажатие на которую запускало загрузку и установку вредоносного клиента ScreenConnect, сконфигурированного на домен злоумышленника. Это сразу предоставляло атакующему полный удаленный доступ к рабочей станции.

Использование легитимных RMM-инструментов позволяет злоумышленникам обходить традиционные антивирусные решения, так как само приложение не является вредоносным. ScreenConnect остается самым популярным инструментом в этой тактике, составляя 74.5% среди всех наблюдаемых злоупотреблений удаленным доступом. Для защиты компаниям рекомендуется усиливать обучение сотрудников киберграмотности, чтобы они могли распознавать подозрительные просьбы загрузить файлы. Кроме того, критически важны аудит и мониторинг всех инструментов удаленного доступа в сети, анализ логов на предмет подозрительной активности RMM и своевременное обновление такого ПО для устранения известных уязвимостей. Такие решения, как Managed Endpoint Detection and Response (EDR), помогают определять легитимность RMM-соединений, анализируя, например, репутацию домена, на который выходит клиент.