Хакеры используют Faronics Deploy для установки ScreenConnect

На заражённых системах появляется ScreenConnect. Этот инструмент даёт злоумышленникам ещё один удалённый канал управления, уже не завязанный на Faronics, и позволяет сохранять доступ даже после удаления первоначального агента. Для расследования Huntress советует проверять каталог C:\ProgramData\Faronics\Logs\ и в первую очередь файл ScriptRunner.log. В нём может сохраниться URL удалённого скрипта, даже если исходный

PowerShell уже недоступен, а также имя загруженного файла. Отдельно исследователи отмечают параметр ck в запросах конфигурации Faronics, который связан с клиентским развёртыванием и помогает связывать инциденты между собой. Huntress уведомила Faronics 5 августа. По словам исследователей, компания внедрила дополнительные меры против злоупотребления сервисом, а с 21 августа

наблюдалось резкое снижение числа инцидентов с вредоносным использованием Faronics. Faronics также сообщала, что видела попытки злоумышленников регистрировать аккаунты через подменённые организации, поддельные домены и скомпрометированные учётные записи. В заражённых средах Huntress советует изолировать узлы, проверить ScriptRunner.log и конфигурационные запросы с параметром ck, а затем искать следы ScreenConnect или другого RMM-инструмента.

После сбора артефактов нужно удалить несанкционированное ПО удалённого управления и проверить, не выполнялись ли дополнительные команды и скрипты уже после первоначального запуска Faronics. Атака начинается с писем, замаскированных под счета, налоговые документы, финансовые записи, приглашения и другие рабочие файлы. После клика по ссылке жертва попадает на страницу, которая собирает данные о браузере и устройстве, включая

User-Agent, платформу, разрешение экрана, часовой пояс, язык, поддержку сенсорного ввода и глубину цвета, а затем отправляет их на сервер, чтобы выбрать сценарий дальше. Не все посетители видят одинаковую страницу. В одних случаях открывается безобидная приманка, в других срабатывает блокировка для мобильных устройств или подставное сообщение об ошибке, а целевая аудитория получает фальшивую страницу загрузки документа. Среди приманок исследователи видели подделки под Adobe,

страницы «Downloading Document», приглашения на Zoom и запросы установить Adobe-плагин. После загрузки жертве предлагают запустить подписанный Faronics-инсталлятор, который маскируется под Adobe.exe, AdobeReader.exe и похожие имена. При установке устройство подключается к развёртыванию Faronics, контролируемому атакующими, а дальше они используют штатные функции платформы для запуска PowerShell-скриптов без участия пользователя. Как Faronics превращают в канал для

ScreenConnect Huntress пишет, что после закрепления на устройстве злоумышленники не встраивают следующую нагрузку прямо в установщик. Вместо этого они запускают PowerShell и забирают сценарии с внешних площадок, включая GitHub, а в некоторых случаях используют curl или

mshta для получения дополнительного содержимого. В других эпизодах встречался msiexec, который ставил полезную нагрузку с инфраструктуры атакующих. Источник изображения: bleepingcomputer На заражённых системах появляется ScreenConnect. Этот инструмент даёт злоумышленникам ещё один удалённый канал управления, уже не завязанный на Faronics, и позволяет сохранять доступ даже

после удаления первоначального агента. Для расследования Huntress советует проверять каталог C:\ProgramData\Faronics\Logs\ и в первую очередь файл ScriptRunner.log. В нём может сохраниться URL удалённого скрипта, даже если исходный PowerShell уже недоступен, а также имя загруженного файла. Отдельно исследователи отмечают параметр ck в запросах конфигурации Faronics, который связан с клиентским развёртыванием и помогает связывать инциденты между собой.

Huntress уведомила Faronics 5 августа. По словам исследователей, компания внедрила дополнительные меры против злоупотребления сервисом, а с 21 августа наблюдалось резкое снижение числа инцидентов с вредоносным использованием Faronics. Faronics также сообщала, что видела попытки злоумышленников регистрировать аккаунты через подменённые организации, поддельные домены и скомпрометированные учётные записи. В заражённых средах Huntress советует изолировать узлы, проверить ScriptRunner.log

и конфигурационные запросы с параметром ck, а затем искать следы ScreenConnect или другого RMM-инструмента. После сбора артефактов нужно удалить несанкционированное ПО удалённого управления и проверить, не выполнялись ли дополнительные команды и скрипты

уже после первоначального запуска Faronics. Хакеры используют легитимный Faronics Deploy, чтобы получить удалённый доступ к компьютерам жертв и затем установить ScreenConnect. Huntress сообщает, что в этой активности фишинговые приманки под Faronics

затронули более 457 устройств в период с 21 июля по 20 августа. Атака начинается с писем, замаскированных под счета, налоговые документы, финансовые записи, приглашения и другие рабочие файлы. После клика по ссылке жертва попадает на страницу, которая собирает данные о браузере и устройстве, включая User-Agent, платформу, разрешение экрана, часовой пояс, язык, поддержку сенсорного ввода и глубину цвета, а затем отправляет их на сервер, чтобы выбрать сценарий

дальше. Не все посетители видят одинаковую страницу. В одних случаях открывается безобидная приманка, в других срабатывает блокировка для мобильных устройств или подставное сообщение об ошибке, а целевая аудитория получает фальшивую страницу загрузки документа. Среди приманок исследователи видели подделки под

Adobe, страницы «Downloading Document», приглашения на Zoom и запросы установить Adobe-плагин. После загрузки жертве предлагают запустить подписанный Faronics-инсталлятор, который маскируется под Adobe.exe, AdobeReader.exe и похожие имена. При установке устройство подключается к развёртыванию Faronics, контролируемому атакующими, а дальше они используют штатные функции платформы для запуска PowerShell-скриптов без участия пользователя.

Как Faronics превращают в канал для ScreenConnect Huntress пишет, что после закрепления на устройстве злоумышленники не встраивают следующую нагрузку прямо в установщик. Вместо этого они запускают PowerShell и забирают сценарии с внешних площадок, включая GitHub, а в некоторых случаях используют curl или mshta для получения дополнительного содержимого. В других эпизодах встречался msiexec, который ставил полезную нагрузку

с инфраструктуры атакующих. Источник изображения: bleepingcomputer На заражённых системах появляется ScreenConnect. Этот инструмент даёт злоумышленникам ещё один удалённый канал управления, уже не завязанный на Faronics, и позволяет сохранять доступ даже после удаления первоначального агента. Для расследования Huntress советует проверять каталог C:\ProgramData\Faronics\Logs\ и в первую

очередь файл ScriptRunner.log. В нём может сохраниться URL удалённого скрипта, даже если исходный PowerShell уже недоступен, а также имя загруженного файла. Отдельно исследователи отмечают параметр ck в запросах конфигурации Faronics, который связан с клиентским развёртыванием и помогает

связывать инциденты между собой. Huntress уведомила Faronics 5 августа. По словам исследователей, компания внедрила дополнительные меры против злоупотребления сервисом, а с 21 августа наблюдалось резкое снижение числа инцидентов с вредоносным использованием Faronics. Faronics также сообщала, что видела попытки злоумышленников регистрировать аккаунты через подменённые организации, поддельные домены и скомпрометированные учётные записи. В

заражённых средах Huntress советует изолировать узлы, проверить ScriptRunner.log и конфигурационные запросы с параметром ck, а затем искать следы ScreenConnect или другого RMM-инструмента. После сбора артефактов нужно удалить несанкционированное ПО удалённого управления и проверить, не выполнялись ли дополнительные команды и скрипты уже после первоначального запуска Faronics.

Сообщает itzine.ru

 

Новость из рубрики: Технологии и Hi-Tech

 

Поделиться новостью:

 

Топ Новости Недели

• Bu bacarıqlar istehsalçıların yeni satış kanallarına çıxmasına, xidmət müəssisələrinin iş proseslərini sistemləşdirməsinə və yerli məhsulların daha geniş auditoriyaya təqdim edilməsinə şərait yarada bilər...
• Алмазные инструменты обладают высокой производительностью и долговечностью...
• Yol hərəkətinin təhlükəsizliyi ilə bağlı maarifləndirici tədbirlər təşkil olunmuşdur. Nəqliyyat sisteminin mərhələli şəkildə modernləşdirilməsi davam etmişdir...
• Valideynlərlə əməkdaşlığın genişləndirilməsi məqsədilə görüşlər keçirilmişdir. Təhsil müəssisələrinin texniki bazasının yenilənməsi istiqamətində planlı işlər davam etdirilmişdir...
• Qonaqpərvərlik sektorunda çalışan əməkdaşlar xidmət keyfiyyətinin yüksəldilməsi üzrə təlimlərdə iştirak etmişlər. Bölgənin təbii gözəlliklərinin təbliği üçün yeni informasiya materialları hazırlanmışdır...
• Если элайнер давит, натирает или не садится на зуб, что делать?...
• Производство творога — это сложный технологический процесс, в котором важную роль играет качество исходного сырья и используемых компонентов...
• Yeni stansiyalar işə salındı və enerji müstəqilliyi artdı. Bu, iqtisadi sabitliyi möhkəmləndirdi. Sakinlər aşağı enerji xərclərindən faydalandılar. Texniki mütəxəssislər təlimlər keçdilər. Beynəlxalq ekspertlər layihələri təqdir etdilər. Region enerji sah...
• Инвестируя в надежный инструмент, можно значительно повысить эффективность выполнения строительных и производственных задач...
• Одним из ключевых преимуществ стеклофибробетона является его прочность при относительно небольшом весе...
• В Threads разошелся скриншот фейка от Сидни Суини...
• Подготовка документов для участия в аукционе на право пользования недрами является сложным и ответственным процессом, требующим профессионального подхода...
• Рабочие ХБ перчатки с ПВХ покрытием являются надежным и практичным средством защиты рук...
• Зубная паста Glossy Cherry является отличным выбором для ежедневного ухода, объединяя в себе качественное очищение, приятный вкус и заботу о здоровье зубов и десен...
• Təbiətin qorunması yalnız dövlət qurumlarının deyil, bütün cəmiyyətin ümumi məsuliyyəti kimi qiymətləndirilir. Ekoloji sabitliyin təmin olunması regionun gələcək inkişafı üçün vacib amillərdən biridir...
• Sakinlərin müraciətlərinə baxılması, problemlərin müəyyən edilməsi və onların həlli üçün yeni mexanizmlərin tətbiqi əsas istiqamətlərdən biri olub. İdarəetmədə şəffaflığın artırılması və əhali ilə əlaqələrin gücləndirilməsi vacib məsələlərdən hesab edilir...
• Bu addımlar səhiyyə xidmətlərinin keyfiyyətinin artırılmasına yönəlib. Eyni zamanda, profilaktik proqramlar çərçivəsində vaksinasiya və yoxlama kampaniyaları da davam etdirilib...
• Mütəxəssislər bunu iqlim dəyişiklikləri və yağıntıların qeyri-bərabər paylanması ilə əlaqələndirirlər. Yeni monitorinq sistemlərinin qurulması planlaşdırılır və ekoloji nəzarət gücləndirilir...
• Выбор банкетного зала — это важный этап подготовки к мероприятию, который требует внимательного анализа и учета множества деталей...
• İctimai istifadə obyektlərində texniki təhlükəsizlik qaydalarına uyğun profilaktik baxışlar aparılmış, aşkar edilmiş xırda nasazlıqlar operativ şəkildə aradan qaldırılmışdır...