Especialistas da Kaspersky descobriram uma infraestrutura maliciosa para distribuição do Trojan AsyncRAT, que é implantado por meio de software ScreenConnect comprometido. A infecção ocorre através de uma rede de infraestrutura de comando e controle (C2) maliciosa.
Detalhes Técnicos
A campanha utiliza o ScreenConnect, uma ferramenta de administração remota legítima (identificada como S0591 no MITRE ATT&CK), que foi previamente usada por grupos de ameaças como MuddyWater e GOLD SOUTHFIELD para movimento lateral em ambientes de destino.
O AsyncRAT (S1087) é uma ferramenta de acesso remoto de código aberto que tem sido usada em campanhas maliciosas. Ele foi originalmente disponível através do repositório NYANxCAT Github.
A infecção chain envolve o comprometimento do software ScreenConnect para dropar o AsyncRAT, permitindo aos atores de ameaças o acesso remoto e controle das máquinas infectadas.
Próximos Passos
Analisar a infraestrutura C2 para identificar os atores de ameaças por trás da campanha.
Implementar medidas de detecção e prevenção para identificar e mitigar o uso malicioso do ScreenConnect e AsyncRAT.
Realizar uma varredura em busca de software ScreenConnect comprometido em ambientes de rede.
