Pesquisadores de segurança cibernética divulgaram detalhes de atividade semelhante a um worm que abusa do ConnectWise ScreenConnect para distribuir um payload malicioso de Visual Basic Script (VBScript) para sistemas recém-conectados. Três incidentes não relacionados foram encontrados utilizando métodos de acesso inicial diversos, incluindo um golpe de suporte técnico Quick Assist, um instalador MSI entregue por phishing e um falso.
Detalhes Técnicos
O ConnectWise ScreenConnect é uma ferramenta legítima de administração remota que tem sido usada por atores de ameaças desde pelo menos 2016.
A Quick Assist é uma ferramenta de assistência remota para Microsoft Windows que permite compartilhamento de tela remoto e, com aprovação do usuário final, controle remoto e execução de comandos.
Os ataques utilizam métodos de acesso inicial como golpes de suporte técnico, phishing e instaladores maliciosos.
A cadeia de VBScript é composta por quatro estágios, visando sistemas recém-conectados.
Recomendações
Verificar e atualizar as configurações de segurança do ConnectWise ScreenConnect.
Treinar os usuários para identificar golpes de phishing e suporte técnico.
Implementar medidas de segurança para detectar e prevenir a execução de scripts maliciosos.
Monitorar as conexões remotas e o uso de ferramentas de administração remota.
IOC
secure-verification.net
g00gle.com
Próximos Passos
Analisar os logs de conexão remota para identificar possíveis atividades suspeitas.
Verificar a presença de scripts maliciosos nos sistemas.
Atualizar as definições de segurança e realizar uma varredura completa nos sistemas.
