Seien Sie wachsam bei verdächtigen E-Mails, insbesondere bei Besprechungseinladungen oder Software-Update-Ködern.
Belegte ATT&CK-Technik zum Erstzugriff+6
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Attackers Abuse MSP360 to Deploy ScreenConnect in Dual-RMM Phishing Attacks
Angreifer missbrauchen MSP360 RMM-Software in Phishing-Kampagnen, um Fernzugriff auf Systeme zu erhalten. Betroffen sind Nutzer, die auf gefälschte Einladungen oder Software-Updates hereinfallen und den legitimen, aber manipulierten Installer ausführen. Microsoft empfiehlt, wachsam bei E-Mails zu sein und die Ausführung unbekannter Software zu vermeiden, um die Installation von MSP360 und ScreenConnect zu verhindern.
SecBoard-Einordnung
Diese Kampagnen nutzen legitime Software für den Fernzugriff, was die Erkennung erschwert und Angreifern ermöglicht, persistente Zugänge für Datendiebstahl und weitere Kompromittierungen zu etablieren.
Realistisch schlimmster Fall: Der schlimmste Fall ist der vollständige Verlust von Daten, die Kompromittierung von Anmeldeinformationen und die Etablierung dauerhaften Fernzugriffs, was zu weitreichenden Systemkompromittierungen führen kann.
Empfehlung: Seien Sie wachsam bei verdächtigen E-Mails, insbesondere bei Besprechungseinladungen oder Software-Update-Ködern. Überprüfen Sie die Legitimität aller Software-Downloads und vermeiden Sie die Ausführung unbekannter Software.
Betroffen
Nutzer und Organisationen, die auf gefälschte E-Mails mit Besprechungseinladungen oder Software-Update-Ködern hereinfallen und legitime, aber manipulierte Installer ausführen.
Prüfen
3- ▸Überprüfen Sie E-Mail-Filterregeln auf die Erkennung von Phishing-E-Mails, die auf MSP360 oder ScreenConnect abzielen.
- ▸Überwachen Sie Endpunkte auf die Installation von MSP360 oder ConnectWise ScreenConnect, insbesondere wenn diese nicht über offizielle Kanäle bereitgestellt wurden.
▸ 1 weitere▾ weniger
- ▸Implementieren Sie Anwendungs-Whitelisting, um die Ausführung nicht autorisierter RMM-Software zu verhindern.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Spezifische Indikatoren für Kompromittierung (IOCs) sind nicht angegeben.
- ▸Die genauen Versionen von MSP360 oder ScreenConnect, die missbraucht werden, sind nicht spezifiziert.
- ▸Die geografische Reichweite der Angriffe ist nicht angegeben.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Unklar
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir Windows extern erreichbar?
- Haben wir GitLab extern erreichbar?
- Können wir Initial Access detektieren?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(5)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Angreifer missbrauchen MSP360 RMM-Software in Phishing-Kampagnen, um Fernzugriff auf Systeme zu erhalten.“
„für weitere bösartige Aktivitäten wie Datensammlung und Diebstahl von Anmeldeinformationen.“
„Dieser Zugriff wird dann genutzt, um ConnectWise ScreenConnect zu installieren, wodurch ein redundanter Fernzugriffskanal geschaffen wird.“
„Betroffen sind Nutzer, die auf gefälschte Einladungen oder Software-Updates hereinfallen und den legitimen, aber manipulierten Installer ausführen.“
„für weitere bösartige Aktivitäten wie Datensammlung und Diebstahl von Anmeldeinformationen.“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
1
Ausnutzung
0
Einnistung
0
Fernsteuerung
0
Zielhandlung
0
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
ATT&CK-Heatmap