Una campagna di cyber attacchi in più ondate sta sfruttando tecniche di social engineering basate su falsi aggiornamenti di Adobe e Zoom, oltre a esche legate a revisioni di documenti aziendali e strumenti di manutenzione di sistema. Lo scopo è installare in modo silenzioso software legittimi di Remote Monitoring and Management (RMM), in particolare ConnectWise ScreenConnect, per ottenere accesso remoto persistente ai computer delle vittime.
Questo tipo di abuso è in crescita perché gli strumenti RMM sono comuni negli ambienti enterprise, spesso considerati affidabili e quindi meno sospetti rispetto a un classico trojan di accesso remoto.
La catena di infezione osservata utilizza un kit variegato composto da droppers in VBScript, loader in batch, eseguibili compilati in .NET e una pagina HTML di phishing. Tutti i percorsi portano a un server di staging basato su WsgiDAV, usato sia per ospitare i payload sia per mantenere il controllo tramite relay ScreenConnect. Una volta completata l’installazione, l’agente ScreenConnect contatta server di relay controllati dagli attaccanti, consentendo sessioni di desktop remoto e continuità operativa dell’intrusione.
Il vettore iniziale più probabile è lo spear phishing. Le email spingono la vittima ad avviare uno script VBScript offuscato che esegue controlli di ambiente e anti-analisi. In pratica verifica processi e strumenti tipici di analisi e virtualizzazione come Wireshark, Process Monitor, VirtualBox, VMware Tools e Fiddler, interrompendo l’esecuzione se rilevati. Se i controlli vengono superati, lo script decritta ed esegue un comando PowerShell che scarica un payload in C# e lo avvia, preparando l’installazione finale di ScreenConnect.
In un altro scenario la minaccia arriva tramite archivi compressi che lanciano uno script batch capace di disabilitare AMSI, forzare un prompt UAC per elevare i privilegi, modificare il Registro per disattivare SmartScreen e rimuovere Zone Identifier dal file MSI scaricato, riducendo gli avvisi di sicurezza prima dell’esecuzione. Gli attaccanti ruotano anche servizi di hosting considerati affidabili, ad esempio link condivisi su Dropbox per aggirare filtri basati sulla reputazione del dominio, e tunnel temporanei Cloudflare Quick Tunnel, spesso poco monitorati.
Per difendersi è utile limitare l’esecuzione di file MSI non attendibili, monitorare tentativi di manomissione di Defender e di altri controlli di sicurezza, verificare l’uso reale degli strumenti RMM in azienda e individuare catene sospette che coinvolgono PowerShell e cmd. Importante anche applicare criteri UAC più rigorosi per impedire agli utenti standard di superare facilmente richieste amministrative.