Software ausschließlich von offiziellen Quellen herunterladen und robuste Endpoint Detection and Response (EDR)-Lösungen implementieren.
Wird laut Meldung tatsaechlich ausgenutzt: in the wild+12
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
The SOC Files: ScreenConnect masked as freeware. An inside look at a large-scale campaign
Eine massive Kampagne verbreitet über gefälschte Websites, die beliebte Software imitieren, bösartige Installer. Diese nutzen DLL-Sideloading, um den legitimen Fernzugriffsdienst ScreenConnect zu installieren, der dann eine AsyncRAT-Payload ausführt. Betroffen sind Einzelnutzer und Organisationen, deren Systeme so von Angreifern kontrolliert werden können. Nutzer sollten Software nur von offiziellen Quellen herunterladen und auf verdächtige Aktivitäten achten.
SecBoard-Einordnung
Organisationen könnten unwissentlich Fernzugriffstools installieren, die von Angreifern missbraucht werden, um persistente Kontrolle zu erlangen und weitere bösartige Payloads auszuführen. Dies umgeht traditionelle Sicherheitskontrollen, die legitime Software nicht blockieren.
Realistisch schlimmster Fall: Angreifer erlangen vollständige Kontrolle über Endpunkte, können Daten exfiltrieren, weitere Malware installieren und sich lateral im Netzwerk bewegen, was zu einem umfassenden Datenverlust oder Betriebsunterbrechungen führen kann.
Empfehlung: Software ausschließlich von offiziellen Quellen herunterladen und robuste Endpoint Detection and Response (EDR)-Lösungen implementieren. Mitarbeiter sollten für die Erkennung verdächtiger Software-Downloads geschult werden.
Betroffen
Einzelnutzer und Organisationen, die Software von inoffiziellen Quellen herunterladen.
Prüfen
3- ▸Überprüfen Sie Ihre EDR-Lösungen auf Warnungen bezüglich der Installation von ScreenConnect-Diensten, insbesondere wenn diese nicht über offizielle Kanäle bereitgestellt wurden.
- ▸Scannen Sie Endpunkte auf das Vorhandensein von AsyncRAT-Payloads oder ungewöhnlichen Netzwerkverbindungen, die von ScreenConnect-Instanzen ausgehen.
▸ 1 weitere▾ weniger
- ▸Validieren Sie, dass Ihre Richtlinien für Software-Downloads die Installation von Anwendungen aus nicht vertrauenswürdigen Quellen blockieren oder kennzeichnen.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Die spezifischen URLs der über 90 gefälschten Websites sind nicht angegeben.
- ▸Die genauen Versionen von ScreenConnect, die missbraucht werden, sind nicht spezifiziert.
- ▸Die spezifischen Branchen oder geografischen Regionen, die am stärksten betroffen sind, sind nicht genannt.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Möglich
- Privilege Escalation relevant?Ja
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Ja
Kundenfragen
- Haben wir Windows extern erreichbar?
- Können wir Execution detektieren?
- Können wir Privilege Escalation detektieren?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(8)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„der dann eine AsyncRAT-Payload ausführt.“
„den legitimen Fernzugriffsdienst ScreenConnect zu installieren, der dann eine AsyncRAT-Payload ausführt. Betroffen sind Einzelnutzer und Organisationen, deren Systeme so von Angreifern kontrolliert werden können.“
„Eine massive Kampagne verbreitet über gefälschte Websites, die beliebte Software imitieren, bösartige Installer.“
„Diese nutzen DLL-Sideloading, um den legitimen Fernzugriffsdienst ScreenConnect zu installieren.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
0
Ausnutzung
2
Einnistung
0
Fernsteuerung
2
Zielhandlung
0
Quellen & Belege· 1 Quelle
Frei veroeffentlichte Forschung eines Sicherheitsanbieters — nachpruefbare Technik, aber eigenes Vermarktungsinteresse. Kein bezogener Feed, deshalb PUBLIC statt COMMERCIAL_TI.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
ATT&CK-Heatmap