Nadużycie Faronics Deploy do instalacji ScreenConnect: nowy wektor przejęcia zdalnego dostępu

Wprowadzenie do problemu / definicja

Legalne narzędzia administracyjne coraz częściej stają się elementem łańcucha ataku. W opisywanym przypadku cyberprzestępcy wykorzystali Faronics Deploy, platformę do zdalnego zarządzania stacjami roboczymi, aby uzyskać kontrolę nad urządzeniami ofiar i wdrożyć dodatkowe oprogramowanie do zdalnego dostępu w postaci ConnectWise ScreenConnect.

To przykład nadużycia zaufanego, podpisanego oprogramowania, które z perspektywy obrony jest trudniejsze do wykrycia niż klasyczny malware. Atakujący nie muszą od razu dostarczać złośliwego pliku — wystarczy, że skłonią użytkownika do uruchomienia legalnego agenta zarządzającego.

W skrócie

Atak rozpoczynał się od kampanii phishingowej z wykorzystaniem przynęt biznesowych i podatkowych.
Ofiary pobierały podpisany instalator Faronics Deploy, często podszyty pod plik lub aplikację Adobe.
Po instalacji endpoint był rejestrowany w infrastrukturze kontrolowanej przez napastników.
Atakujący zdalnie uruchamiali skrypty PowerShell i wdrażali ScreenConnect jako dodatkowy kanał dostępu.
Po działaniach ograniczających po stronie dostawcy skala aktywności wyraźnie spadła.

Kontekst / historia

Faronics Deploy to chmurowe rozwiązanie służące do centralnego zarządzania komputerami końcowymi, wdrażania aplikacji oraz wykonywania zadań administracyjnych. Tego typu narzędzia są powszechnie obecne w firmach i placówkach edukacyjnych, dlatego ich instalacja rzadko budzi natychmiastowe podejrzenia użytkowników lub administratorów.

Z punktu widzenia napastnika takie oprogramowanie ma dużą wartość operacyjną. Jeśli uda się zarejestrować urządzenie w nieautoryzowanej instancji zarządzającej, możliwe staje się wykonywanie poleceń, pobieranie komponentów i uruchamianie skryptów bez potrzeby stosowania bardziej hałaśliwych technik. To wpisuje się w rosnący trend nadużywania legalnych narzędzi administracyjnych do realizacji działań po uzyskaniu dostępu początkowego.

Według dostępnych informacji aktywność była obserwowana od 21 lipca do 20 sierpnia 2026 roku i objęła ponad 457 endpointów. Po 21 sierpnia 2026 roku odnotowano wyraźny spadek incydentów, co sugeruje skuteczność wdrożonych mechanizmów antyabuse.

Analiza techniczna

Łańcuch ataku rozpoczynał się od wiadomości phishingowych. Przynęty nawiązywały do codziennych procesów biznesowych, takich jak faktury, dokumenty czy materiały podatkowe. Celem było nakłonienie użytkownika do kliknięcia odsyłacza prowadzącego do spreparowanej strony pobierania.

Strona mogła profilować ofiarę i odróżniać prawdziwych użytkowników od środowisk analitycznych. W przypadku wykrycia sandboxa lub analizy automatycznej wyświetlany był nieszkodliwy komunikat, na przykład błąd ładowania. W scenariuszu właściwym użytkownik otrzymywał możliwość pobrania legalnego instalatora Faronics Deploy, zamaskowanego nazwą sugerującą plik Adobe, aktualizację lub dokument.

Po uruchomieniu instalatora urządzenie było przypisywane do wdrożenia kontrolowanego przez napastników. Następnie wykorzystywano natywne funkcje platformy do zdalnego wykonywania skryptów, głównie z użyciem PowerShell. Skrypty pobierały kolejne komponenty oraz uruchamiały narzędzia systemowe, takie jak curl, mshta czy msiexec, aby zainstalować dodatkowe elementy infrastruktury ataku.

Kluczowym celem końcowym było wdrożenie ConnectWise ScreenConnect. Faronics Deploy zapewniał początkowy kanał administracyjny, natomiast ScreenConnect dawał wygodniejszy, interaktywny dostęp typu hands-on-keyboard. Taki model zwiększał odporność operacji na częściową detekcję, ponieważ usunięcie jednego narzędzia nie musiało oznaczać utraty dostępu przez przeciwnika.

Z perspektywy śledczej ważne były artefakty pozostawiane przez agenta. Szczególną uwagę zwraca katalog C:\ProgramData\Faronics\Logs\, a zwłaszcza plik ScriptRunner.log, który może zawierać informacje o wykonywanych skryptach i źródłach pobierania. Istotny może być także parametr ck obecny w żądaniach konfiguracyjnych, pomocny przy identyfikacji powiązanego wdrożenia klienta.

Konsekwencje / ryzyko

Największe zagrożenie polega na tym, że atak opiera się na legalnym i podpisanym oprogramowaniu, a nie wyłącznie na klasycznych plikach malware. To znacząco osłabia skuteczność mechanizmów opartych tylko na reputacji plików, podpisie cyfrowym lub prostym allowlistingu producentów.

Dla organizacji oznacza to kilka praktycznych problemów. Użytkownik może uznać instalator za wiarygodny, bo nie wygląda on jak typowy złośliwy plik. Po wdrożeniu agenta przeciwnik uzyskuje możliwości zbliżone do legalnego administratora, w tym zdalne wykonywanie skryptów, instalowanie komponentów i przygotowanie gruntu pod dalszy ruch boczny. Dodatkowa instalacja ScreenConnect wzmacnia trwałość dostępu i utrudnia pełne usunięcie skutków incydentu.

Szczególnie zagrożone są środowiska, w których funkcjonuje wiele narzędzi RMM, EMM i zdalnego wsparcia, a proces ewidencji agentów nie jest rygorystycznie kontrolowany. W takich warunkach nieautoryzowany agent może długo pozostawać niezauważony.

Rekomendacje

Organizacje powinny potraktować ten incydent jako sygnał do przeglądu kontroli nad legalnym oprogramowaniem administracyjnym i zdalnym wsparciem.

Zweryfikować wszystkie instalacje Faronics Deploy i potwierdzić, że są przypisane do autoryzowanych tenantów oraz kont administracyjnych.
Przeanalizować logi w katalogu C:\ProgramData\Faronics\Logs\, zwłaszcza ScriptRunner.log, pod kątem nietypowych skryptów, poleceń i zewnętrznych źródeł pobierania.
Poszukać nieoczekiwanych instalacji ScreenConnect i porównać je z oficjalną inwentaryzacją narzędzi zdalnego dostępu.
Monitorować uruchomienia powershell.exe, mshta.exe, curl.exe i msiexec.exe w kontekście aktywności agentów zarządzających.
Wdrożyć polityki kontroli aplikacji uwzględniające nie tylko podpis kodu, ale także kontekst wdrożenia i przypisanie do zatwierdzonej instancji.
Wzmocnić ochronę przed phishingiem, w tym filtrowanie poczty, analizę domen podszywających się pod dostawców oraz szkolenia użytkowników.
Uzupełnić playbooki SOC i IR o scenariusze nadużycia legalnych narzędzi administracyjnych oraz poszukiwanie alternatywnych kanałów dostępu.

Podsumowanie

Przypadek nadużycia Faronics Deploy pokazuje, jak skuteczne może być połączenie socjotechniki, podpisanego oprogramowania i natywnych funkcji administracyjnych. Atakujący wykorzystali zaufane narzędzie do przejęcia kontroli nad endpointami, a następnie wdrożyli ScreenConnect jako trwały kanał zdalnego dostępu.

Dla obrońców najważniejsza lekcja jest jasna: samo rozróżnienie na oprogramowanie legalne i złośliwe nie wystarcza. Coraz większe znaczenie ma analiza kontekstu użycia, walidacja autoryzowanych wdrożeń oraz szybka korelacja logów z aktywnością skryptową i nieplanowanymi instalacjami narzędzi administracyjnych.