Wprowadzenie do problemu / definicja
Cyberprzestępcy coraz częściej rezygnują z klasycznych loaderów i trojanów na rzecz nadużywania legalnych narzędzi administracyjnych. W najnowszym obserwowanym schemacie wykorzystywana jest platforma Faronics Deploy, która po uruchomieniu przez ofiarę może zostać użyta do zapisania stacji roboczej do wdrożenia kontrolowanego przez napastnika, a następnie do zdalnej instalacji oprogramowania ScreenConnect.
To podejście wpisuje się w model „living off trusted software”, w którym atak bazuje na zaufanym, podpisanym i powszechnie używanym oprogramowaniu. Dzięki temu początkowa faza kompromitacji wygląda wiarygodnie i może nie wzbudzić podejrzeń ani użytkownika, ani części mechanizmów ochronnych.
W skrócie
- Atak rozpoczyna się od phishingu podszywającego się pod dokumenty biznesowe, takie jak faktury lub pliki podatkowe.
- Ofiara trafia na stronę zachęcającą do pobrania legalnego instalatora Faronics Deploy, często przebranego za aktualizację Adobe lub czytnik dokumentów.
- Po uruchomieniu instalatora urządzenie zostaje przypisane do wdrożenia kontrolowanego przez napastnika.
- Atakujący wykorzystuje funkcje zdalnego wdrażania i uruchamiania skryptów do pobrania kolejnych komponentów.
- Finalnym etapem jest instalacja ConnectWise ScreenConnect, zapewniającego trwały i interaktywny kanał zdalnego dostępu.
Kontekst / historia
Faronics Deploy to rozwiązanie do zarządzania punktami końcowymi, używane do rejestracji urządzeń, dystrybucji oprogramowania oraz zdalnego wykonywania skryptów. Właśnie te funkcje, zaprojektowane do legalnej administracji, zostały wykorzystane jako element łańcucha ataku.
Opisana aktywność była obserwowana od 21 lipca do 20 sierpnia 2026 roku i miała objąć ponad 457 punktów końcowych. Kampania opierała się na socjotechnice oraz podszywaniu się pod znane aplikacje użytkowe, co zwiększało szansę, że użytkownik sam uruchomi podpisany instalator.
Według ustaleń po zgłoszeniu incydentu producent wdrożył dodatkowe mechanizmy ograniczające nadużycia oraz kontaktował się z organizacjami potencjalnie dotkniętymi incydentem. Spadek aktywności po 21 sierpnia sugeruje, że działania obronne przyniosły efekt, jednak sam model operacyjny pozostaje istotnym sygnałem ostrzegawczym dla zespołów bezpieczeństwa.
Analiza techniczna
Łańcuch ataku składa się z kilku etapów. Najpierw ofiara otrzymuje wiadomość phishingową z przynętą odnoszącą się do dokumentów biznesowych. Link z wiadomości prowadzi do strony kontrolowanej przez napastnika, która może nie tylko oferować fałszywy plik do pobrania, ale również profilować środowisko odwiedzającego i unikać ujawnienia pełnego zachowania w warunkach analizy.
Kolejny krok to pobranie legalnego, podpisanego instalatora Faronics Deploy. W analizowanych przypadkach pliki były nazywane w sposób sugerujący oprogramowanie Adobe lub narzędzia do otwierania dokumentów. Po ich uruchomieniu host zostaje przypisany do wdrożenia kontrolowanego przez operatora ataku.
Kluczowym elementem po stronie napastnika jest możliwość zdalnego wykonywania skryptów PowerShell z użyciem funkcji dostępnych w Faronics Deploy. Dzięki temu dalsza kompromitacja może przebiegać bez dodatkowej interakcji użytkownika. Skrypty pobierają następne komponenty z infrastruktury atakującego lub zewnętrznych lokalizacji, wykorzystując przy tym takie narzędzia jak curl, mshta czy msiexec.
Ostatecznym celem obserwowanych działań była instalacja ConnectWise ScreenConnect. Daje to napastnikowi drugi, niezależny kanał dostępu zdalnego do systemu. Nawet jeśli nieautoryzowane wdrożenie w Faronics Deploy zostanie wykryte i usunięte, ScreenConnect może utrzymać możliwość dalszej interakcji z hostem, co zwiększa odporność operacji na działania zespołów SOC i IR.
Z perspektywy dochodzeniowej szczególnie ważne są artefakty lokalne związane z Faronics Deploy. Istotnym śladem może być plik ScriptRunner.log w katalogu C:\ProgramData\Faronics\Logs\, który może zawierać nazwy wykonywanych skryptów i adresy pobierania. Dodatkowym wskaźnikiem kompromitacji może być parametr ck obecny w żądaniach konfiguracyjnych, pozwalający powiązać urządzenie z konkretnym wdrożeniem lub kontem klienta.
Konsekwencje / ryzyko
Najpoważniejsze ryzyko wynika z faktu, że atak wykorzystuje zaufane oprogramowanie administracyjne zamiast typowego malware. W praktyce zwiększa to szansę obejścia zabezpieczeń opartych na reputacji pliku, podpisie cyfrowym czy prostych regułach allowlistingu.
Kompromitacja pojedynczego hosta może szybko przekształcić się w trwały zdalny dostęp, umożliwiający dalsze działania operatorskie, rozpoznanie środowiska, transfer plików, a nawet przygotowanie gruntu pod kradzież danych lub wdrożenie ransomware. ScreenConnect jest w takim scenariuszu narzędziem szczególnie użytecznym, ponieważ pozwala na wygodne i stabilne zarządzanie przejętym systemem.
Dodatkowym problemem jest trudność odróżnienia działań legalnych od złośliwych. W organizacjach, które już korzystają z platform RMM lub narzędzi do zarządzania endpointami, wykrycie nieautoryzowanego wdrożenia wymaga zwykle korelacji wielu źródeł telemetrycznych, takich jak logi EDR, zapisy PowerShell, historia instalacji oraz ruch sieciowy.
Rekomendacje
Organizacje powinny przyjąć, że legalne narzędzia administracyjne mogą zostać użyte jako wektor ataku i odpowiednio dostosować monitoring oraz procesy reagowania.
- Zweryfikować, czy Faronics Deploy jest używany w środowisku, oraz zinwentaryzować autoryzowane konta, tenanty, polityki wdrożeniowe i listy zarządzanych urządzeń.
- Traktować każde nieznane przypisanie hosta do wdrożenia jako potencjalny incydent bezpieczeństwa.
- Monitorować nietypowe instalacje Faronics Deploy na stacjach, które wcześniej nie korzystały z tego rozwiązania.
- Śledzić wykonania PowerShell inicjowane przez agenta zarządzającego oraz łańcuchy potomne obejmujące curl, mshta i msiexec.
- Wykrywać nowe lub nieautoryzowane instalacje ScreenConnect oraz komunikację do nieznanych zasobów pobierających skrypty lub pakiety instalacyjne.
- Analizować logi w katalogach Faronics, historię wykonania skryptów, nowe usługi, zadania harmonogramu, klucze autostartu i aktywne sesje zdalnego wsparcia.
- Wzmocnić odporność użytkowników na phishing związany z fałszywymi aktualizacjami i rzekomymi czytnikami dokumentów.
- Rozważyć polityki ograniczające uruchamianie narzędzi skryptowych i instalacyjnych w nietypowych kontekstach oraz wdrożyć reguły behawioralne EDR analizujące relacje rodzic–dziecko między procesami.
Podsumowanie
Nadużycie Faronics Deploy do instalacji ScreenConnect pokazuje, jak skuteczne stają się ataki oparte na legalnych narzędziach administracyjnych. Nie jest to jedynie kampania phishingowa, lecz wieloetapowy mechanizm przejęcia zdalnej kontroli nad hostem z użyciem podpisanego oprogramowania, zdalnych skryptów i redundantnego kanału dostępu.
Dla obrońców kluczowe znaczenie ma szybkie wykrywanie nieautoryzowanych wdrożeń, analiza logów lokalnych oraz korelacja zdarzeń związanych z narzędziami zdalnego zarządzania. Granica między administracją a nadużyciem staje się dziś jednym z najważniejszych obszarów walki w cyberbezpieczeństwie.