Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Badacze bezpieczeństwa opisali aktywną kampanię socjotechniczną, w której cyberprzestępcy podszywają się pod aktualizacje Adobe i Zoom, a także pod dokumenty biznesowe oraz narzędzia administracyjne. Celem operacji jest zainstalowanie legalnego narzędzia klasy RMM, ConnectWise ScreenConnect, które po wdrożeniu zapewnia operatorom trwały zdalny dostęp do przejętego systemu.
To szczególnie niebezpieczny scenariusz, ponieważ atakujący nie muszą korzystać wyłącznie z klasycznego malware. Zamiast tego nadużywają oprogramowania powszechnie wykorzystywanego do zdalnego wsparcia i administracji, przez co ich aktywność może przypominać normalne działania działu IT.
W skrócie
- Kampania SMOKE#SCREEN wykorzystuje fałszywe aktualizacje i spreparowane przynęty do wdrażania ScreenConnect.
- Łańcuch infekcji obejmuje m.in. VBScript, pliki wsadowe, PowerShell oraz komponenty .NET.
- Atakujący stosują mechanizmy antyanalizowe i obchodzą natywne zabezpieczenia Windows.
- W infrastrukturze pojawiają się zaufane usługi hostingowe, WsgiDAV oraz tunele Cloudflare Quick Tunnel.
- Efektem końcowym jest trwały, interaktywny dostęp zdalny do systemu ofiary.
Kontekst / historia
Nadużywanie narzędzi RMM od kilku lat pozostaje jedną z najbardziej praktycznych metod utrzymywania dostępu do środowisk końcowych. W przeciwieństwie do typowych trojanów zdalnego dostępu, rozwiązania takie jak ScreenConnect, AnyDesk czy TeamViewer często funkcjonują w organizacjach legalnie, co znacząco utrudnia wykrycie incydentu i jego właściwą klasyfikację.
W opisywanej kampanii zaobserwowano kilka fal aktywności oraz ewolucję metod stosowanych przez operatorów. Przestępcy zmieniali przynęty, kanały dostarczania i elementy infrastruktury, przechodząc od mocno zaciemnionych dropperów do bardziej agresywnych technik obchodzenia zabezpieczeń. Taka elastyczność pokazuje, że celem nie jest jednorazowa infekcja, lecz skuteczne i długotrwałe utrzymanie dostępu.
Analiza techniczna
Łańcuch ataku najprawdopodobniej zaczyna się od spear-phishingu lub spreparowanej strony internetowej. Ofiara jest nakłaniana do uruchomienia rzekomej aktualizacji Zoom lub Adobe, otwarcia dokumentu do recenzji albo użycia narzędzia administracyjnego. W rzeczywistości uruchamiany jest zaciemniony skrypt VBScript pełniący funkcję droppera.
Pierwszy etap obejmuje kontrolę środowiska i mechanizmy antyanalizowe. Skrypt sprawdza procesy uruchomione w systemie i może przerwać działanie, jeśli wykryje narzędzia typowe dla analizy bezpieczeństwa lub środowisk wirtualnych. Takie zachowanie ogranicza szansę wykrycia kampanii w sandboxach i laboratoriach badawczych.
Po pozytywnym przejściu kontroli dropper odszyfrowuje polecenie PowerShell, które pobiera i uruchamia kolejny komponent napisany w C#. W niektórych wariantach przynęta prowadzi bezpośrednio do skryptu VBScript realizującego ten sam cel końcowy, czyli wdrożenie klienta ScreenConnect.
Badacze opisali również próbki dostarczane w archiwach skompresowanych. Po rozpakowaniu uruchamiany jest plik wsadowy realizujący bardziej agresywny scenariusz, obejmujący wyłączenie AMSI, próbę podniesienia uprawnień z użyciem monitu UAC, dezaktywację SmartScreen przez modyfikacje rejestru oraz usunięcie znacznika Zone.Identifier z pobranego instalatora MSI. Taki zestaw działań wyraźnie obniża skuteczność natywnych zabezpieczeń Windows i zmniejsza widoczność złośliwego łańcucha wykonania.
Istotnym elementem operacji jest infrastruktura stagingowa oparta na WsgiDAV, wykorzystywana zarówno do dostarczania ładunków, jak i do obsługi komunikacji z już zainfekowanymi hostami. Dodatkowo operatorzy korzystają z tuneli Cloudflare Quick Tunnel oraz zaufanych usług współdzielenia plików, aby ukryć właściwe źródło pobieranych komponentów i obejść filtrowanie oparte na reputacji domen.
Niezależnie od wariantu dostarczenia, końcowym efektem jest instalacja agenta ScreenConnect, który łączy się z kontrolowaną przez atakujących infrastrukturą. To otwiera drogę do fazy hands-on-keyboard, czyli aktywnej i interaktywnej pracy napastnika na systemie ofiary.
Konsekwencje / ryzyko
Największe ryzyko wynika z legalnego charakteru ScreenConnect. Po jego zainstalowaniu atakujący nie muszą wdrażać pełnoprawnego autorskiego RAT-a, ponieważ uzyskują trwały, wygodny i stosunkowo mało podejrzany kanał dostępu do środowiska.
W praktyce taki incydent może prowadzić do kradzieży danych, wdrożenia ransomware, ruchu bocznego, przejęcia kont uprzywilejowanych, manipulacji konfiguracją systemów bezpieczeństwa oraz długotrwałej obecności w sieci organizacji. Dodatkowym problemem jest możliwość pomylenia aktywności napastnika z działaniami legalnego zespołu IT, zwłaszcza jeśli firma korzysta z wielu narzędzi zdalnego wsparcia i nie prowadzi ścisłej inwentaryzacji ich użycia.
Kampania pokazuje także rosnącą dojrzałość przestępców w obchodzeniu zabezpieczeń Windows, wykorzystywaniu zaufanych usług oraz łączeniu socjotechniki z legalnym oprogramowaniem administracyjnym. W efekcie detekcje oparte wyłącznie na sygnaturach przestają być wystarczające.
Rekomendacje
Organizacje powinny ograniczyć możliwość uruchamiania nieautoryzowanych instalatorów MSI, skryptów VBScript, plików wsadowych oraz nietypowych łańcuchów PowerShell inicjowanych z kontekstu użytkownika. W środowiskach korporacyjnych warto wdrożyć allow-listing aplikacji oraz skuteczną kontrolę wykonywania skryptów.
Konieczne jest monitorowanie prób wyłączania AMSI, modyfikowania SmartScreen, usuwania znacznika Zone.Identifier oraz innych zdarzeń sugerujących obchodzenie mechanizmów ochronnych systemu. Na podobnym poziomie priorytetu powinny znaleźć się nietypowe wywołania UAC i nagłe zmiany w rejestrze związane z politykami bezpieczeństwa.
Kluczowe znaczenie ma również audyt użycia narzędzi RMM. Zespół SOC powinien dysponować listą zatwierdzonych rozwiązań, serwerów zarządzających, kont operatorów oraz wzorców ruchu sieciowego. Każda nowa instalacja ScreenConnect lub połączenie z nieznanym serwerem pośredniczącym powinna być traktowana jako zdarzenie wysokiego ryzyka.
Warto także zwiększyć widoczność telemetryczną dla procesów cmd.exe, powershell.exe oraz interpretera skryptów Windows, szczególnie gdy uruchamiają pobieranie plików, dekodowanie poleceń lub inicjują instalację pakietów MSI. Uzupełnieniem działań technicznych powinny być szkolenia użytkowników w zakresie rozpoznawania fałszywych aktualizacji, nietypowych załączników i wiadomości podszywających się pod procesy biznesowe.
Podsumowanie
Kampania SMOKE#SCREEN pokazuje, że współczesne ataki nie zawsze wymagają zaawansowanego autorskiego malware. W wielu przypadkach wystarcza skuteczna socjotechnika, wieloetapowy łańcuch obejścia zabezpieczeń oraz instalacja legalnego narzędzia RMM, które zapewnia trwały zdalny dostęp i szerokie możliwości dalszej kompromitacji.
Dla zespołów bezpieczeństwa najważniejszy wniosek jest jasny: narzędzia zdalnej administracji należy traktować nie tylko jako wsparcie operacyjne, ale również jako potencjalny wektor ataku. Skuteczna obrona wymaga ścisłej kontroli legalnych aplikacji, monitorowania anomalii i szybkiej reakcji na każde nietypowe użycie RMM.
Źródła
- The Hacker News — https://thehackernews.com/2026/08/fake-adobe-and-zoom-updates-install.html
- Securonix Threat Research Report: SMOKE#SCREEN — https://www.securonix.com/blog/smoke-screen-fake-updates-deliver-screenconnect-via-wsgidav-and-cloudflare-tunnels/
- ConnectWise ScreenConnect — https://screenconnect.connectwise.com/