Hacker missbrauchen Faronics Deploy, um ScreenConnect zu installieren

Angreifer missbrauchen die legitime Plattform Faronics Deploy, um Computer von Opfern in bösartige Bereitstellungen einzubinden und die Fernzugriffssoftware ScreenConnect zu installieren.

Die Phishing-Aktivität lief vom 21. Juli bis zum 20. August und erreichte mehr als 457 Endpunkte. Die Angreifer nutzten Nachrichten, die als Rechnungen, Steuerdokumente oder andere Geschäftsdateien getarnt waren.

Phishing-Köder nutzen ein legitimes Installationsprogramm

Faronics Deploy ist eine cloudbasierte Plattform für die Endpunktverwaltung, mit der IT-Teams Geräte einbinden, Software bereitstellen und Skripte remote ausführen können.

Forscher von Huntress stellten fest, dass Phishing-E-Mails Ziele auf bösartige Websites leiteten. Diese Websites bewerteten Besucher, bevor sie einen Download-Prozess starteten. Erkannte die Website eine Sicherheitsanalyseumgebung, zeigte sie stattdessen eine Köder-Fehlermeldung an.

Andere Besucher erhielten Aufforderungen, ein legitimes, signiertes Faronics-Deploy-Installationsprogramm herunterzuladen. Die Angreifer tarnten das Installationsprogramm als Adobe-Dokument, Leseanwendung oder Plugin-Update.

Das Installationsprogramm verwendete häufig den Dateinamen Adobe.exe. Sobald ein Opfer es startete, registrierten die Angreifer den Computer in einer von ihnen kontrollierten Faronics-Bereitstellung.

Angreifer stellen Skripte und ScreenConnect bereit

Nachdem sie ein Gerät registriert hatten, nutzten die Angreifer Faronics Deploy, um PowerShell-Skripte ohne weitere Interaktion des Opfers auszuführen.

Die Skripte luden zusätzliche Tools von einer vom Angreifer kontrollierten Infrastruktur und anderen Online-Quellen herunter. Einige nutzten curl oder mshta zum Abrufen von Inhalten, während andere msiexec verwendeten, um gehostete Nutzlasten zu installieren.

Der Missbrauch von Faronics Deploy installierte letztlich ConnectWise ScreenConnect, ein legitimes Fernsupport-Tool.

ScreenConnect bietet Angreifern einen zusätzlichen Weg, ein kompromittiertes Gerät zu kontrollieren. Es kann ihren Zugriff auch aufrechterhalten, wenn Verteidiger die bösartige Faronics-Bereitstellung erkennen und entfernen.

Faronics ging gegen den Missbrauch vor

Huntress informierte Faronics am 5. August über die Kampagne. Der Anbieter bestätigte den Missbrauch und führte zusätzliche Maßnahmen ein, um ihn zu verhindern.

Faronics kontaktierte auch betroffene Organisationen wegen einer möglichen Kompromittierung. Huntress beobachtete ab dem 21. August einen deutlichen Rückgang der bösartigen Aktivität. Dies deutet darauf hin, dass die Maßnahmen des Anbieters die Kampagne störten.

Administratoren sollten unter C:\ProgramData\Faronics\Logs\ nach einer Datei namens ScriptRunner.log suchen. Diese kann Namen remote ausgeführter Skripte und heruntergeladene URLs enthalten.

Sie sollten zudem unerwartete ScreenConnect-Installationen untersuchen und Faronics-Konfigurationsanfragen auf den Parameter ck prüfen, der helfen kann, die zugehörige Bereitstellung zu identifizieren.