Исследователи в области кибербезопасности раскрыли детали активности, напоминающей червя, которая использует ConnectWise ScreenConnect для распространения вредоносного Visual Basic Script (VBScript) на вновь подключенные системы. Согласно информации от компании Huntress, были выявлены три независимых инцидента, использующих различные методы первоначального доступа.

Первый из них связан с мошенничеством в области технической поддержки через Quick Assist, что позволяет злоумышленникам получать доступ к системам пользователей под предлогом помощи. Второй инцидент включает использование фишинговой атаки, в рамках которой пользователям отправляется вредоносный MSI-инсталлятор. Третий случай касается распространения вредоносного ПО через поддельные приложения.

Каждый из этих инцидентов демонстрирует разнообразные подходы к первоначальному доступу к целевым системам, что указывает на эволюцию методов злоумышленников. После того как вредоносный код попадает на устройство, он начинает распространять VBScript-пayload, который выполняет серию этапов для установки и активации дополнительных вредоносных компонентов.

Хакеры используют ScreenConnect, легитимное средство удаленного доступа, что позволяет им скрыть свои действия и затруднить обнаружение. Это создает серьезные риски для организаций, так как злоумышленники могут получить полный контроль над системами.

Эксперты настоятельно рекомендуют пользователям и организациям быть особенно внимательными к запросам на удаленный доступ и тщательно проверять источники любых загружаемых файлов. Обновление программного обеспечения и использование антивирусных решений также могут помочь в защите от подобных атак.

Следует отметить, что внедрение многоуровневой защиты и обучение сотрудников основам кибербезопасности могут значительно снизить риски, связанные с подобными инцидентами.

Источник новости:
The Hacker News

Читать полностью