حملهٔ کرم‌مانند با کلاینت‌های دستکاری‌شدهٔ ScreenConnect
خلاصهٔ کامل‌تر
هانترس تو گزارشش می‌گه اواخر آگوست سه حادثهٔ بحرانی رو تو سه سازمان بی‌ارتباط با هم دیده که الگوی یکسانی داشتن. همه با مهندسی اجتماعی شروع شده بود: یکی با Quick Assist (ابزار پشتیبانی از راه دور خود ویندوز) و کلاهبرداری تلفنی، یکی با فیشینگ، و یکی هم با جست‌وجوی یه فرم بازگشت وجه که آخرش به دانلود بدافزار رسید. نتیجه تو هر سه یکی بود: نصب یه کلاینت جعلی ScreenConnect که به سرور مهاجم وصل می‌شد.
چیزی که توجه محقق‌ها رو جلب کرد این بود که اون کلاینت پشت سر هم wscript.exe اجرا می‌کرد. چهار فایل VBScript با اسم‌های 1.vbs تا 4.vbs نقش یه لودر چندمرحله‌ای رو بازی می‌کردن. اولی سیستم رو پروفایل می‌کرد (چه ابزار امنیتی‌ای نصبه، چقدر RAM داره، ScreenConnect از قبل هست یا نه) و نتیجه رو به شکل یه مقدار سه‌بیتی می‌نوشت. بقیهٔ اسکریپت‌ها بر اساس همون مقدار، بستهٔ مناسب رو می‌گرفتن و رمزگشایی می‌کردن.
جالب‌ترین بخش ماجرا نسخه‌های دستکاری‌شدهٔ خود کلاینت ScreenConnect بود. به گفتهٔ هانترس، این کلاینت لیست اتصال‌های فعال رو مدام چک می‌کنه و هر وقت یه Host تازه وصل میشه، همون چهار اسکریپت رو از طریق سامانهٔ انتقال فایل داخلی ScreenConnect براش می‌فرسته و درخواست اجرا ثبت می‌کنه. یعنی صرفاً وصل شدن به یه کلاینت آلوده می‌تونه سیستم پشتیبان رو هم آلوده کنه؛ رفتاری که عملاً شبیه یه کرمه.
بسته‌های نهایی بسته به پروفایل سیستم فرق می‌کردن: یکی فقط یه در پشتی در سطح کاربر، یکی ابزار ماندگاری و بالا بردن سطح دسترسی، و یکی هم ابزار تونل‌زنی به‌همراه یه ماینر رمزارز که با اسم فایل‌های بی‌خطر جا زده شده بودن. یه نسخه هم کل پوشهٔ کاربران رو به فهرست استثناهای Windows Defender اضافه می‌کرد، درایور آسیب‌پذیر WinRing0 رو می‌آورد و سرویس ScreenConnect خودش رو از دید ادمین پنهان می‌کرد.
کانکت‌وایز سوم سپتامبر یه هشدار منتشر کرد و گفت مشکلی تو رفتار انتقال فایل ScreenConnect پیدا کرده که هم نسخهٔ ابری و هم نصب داخلی رو درگیر می‌کنه، و ظرف یک هفته CVE و وصلهٔ رسمی می‌ده. تا اون موقع پیشنهاد داده مجوز TransferFiles (تو نسخه‌های قدیمی TransferFilesInSession) رو اگه فعاله غیرفعال کنید. هانترس هم توصیه کرده میزبان‌های آلوده از اول نصب بشن، نه اینکه فقط پاک‌سازی بشن.
نکات کلیدی:
- سه حادثهٔ جدا اواخر آگوست، همه با نصب کلاینت جعلی ScreenConnect بعد از مهندسی اجتماعی
- زنجیرهٔ چهار فایلی 1.vbs تا 4.vbs که سیستم رو پروفایل می‌کنه و بستهٔ متناسب رو می‌آره
- کلاینت دستکاری‌شده اسکریپت‌ها رو به هر Host تازه‌وصل‌شده می‌فرسته؛ انتشار کرم‌مانند روی اتصال‌های جدید
- ماندگاری از راه یه Run Key کاربر با نام WindowsServiceHost تو پوشهٔ AppData
- کانکت‌وایز ۳ سپتامبر هشدار داد و قول CVE و وصله ظرف یک هفته رو داد
- راهکار موقت: غیرفعال کردن مجوز TransferFiles روی سشن‌ها
- توصیهٔ هانترس برای میزبان‌های آلوده: نصب مجدد سیستم‌عامل از منبع سالم
