Los clientes maliciosos de ScreenConnect propagan una cadena de VBScript de cuatro etapas a los hosts recién conectados

In­ves­ti­ga­do­res de ci­ber­se­gu­ri­dad re­ve­la­ron de­ta­lles sobre un com­por­ta­mien­to de tipo gu­sano que uti­li­za ins­tan­cias de Con­nect­Wi­se Screen­Con­nect para pro­pa­gar una ca­de­na ma­li­cio­sa com­pues­ta por cua­tro eta­pas de VBS­cript a sis­te­mas re­cién co­nec­ta­dos. Se iden­ti­fi­ca­ron múl­ti­ples in­ci­den­tes uti­li­zan­do dis­tin­tos mé­to­dos de ac­ce­so ini­cial, como una es­ta­fa de so­por­te téc­ni­co me­dian­te Quick As­sist, un ins­ta­la­dor MSI dis­tri­bui­do por phishing y un se­ñue­lo con un for­mu­la­rio de re­em­bol­so falso. Estas ac­cio­nes des­plie­gan clien­tes de Screen­Con­nect no au­to­ri­za­dos que eje­cu­tan de forma re­pe­ti­da scripts de Vi­sual Basic de­no­mi­na­dos de la pri­me­ra a la cuar­ta etapa.

La se­cuen­cia del ata­que fun­cio­na de ma­ne­ra en­ca­de­na­da, donde cada script eje­cu­ta al pri­me­ro y per­mi­te avan­zar al si­guien­te. El pri­mer script per­fi­la el equi­po an­fi­trión, re­vi­sa los re­cur­sos del sis­te­ma, com­prue­ba la pre­sen­cia de Screen­Con­nect y enu­me­ra pro­duc­tos de se­gu­ri­dad, guar­dan­do los re­sul­ta­dos en un ar­chi­vo de texto con un es­ta­do de tres bits. Los si­guien­tes scripts pro­ce­san esa in­for­ma­ción para des­car­gar ar­chi­vos adi­cio­na­les desde ser­vi­cios en la nube, los cua­les pos­te­rior­men­te son des­ci­fra­dos y eje­cu­ta­dos me­dian­te scripts de Po­werShell según el es­ta­do eva­lua­do del equi­po.

De­pen­dien­do del valor de es­ta­do ob­te­ni­do, los ata­can­tes des­plie­gan di­fe­ren­tes car­gas ma­li­cio­sas que in­clu­yen desde puer­tas tra­se­ra y he­rra­mien­tas para la es­ca­la­da de pri­vi­le­gios y per­sis­ten­cia, hasta uti­li­da­des de tú­ne­les y mi­ne­ros de crip­to­mo­ne­das. El sis­te­ma in­fec­ta­do ad­quie­re un com­por­ta­mien­to de pro­pa­ga­ción tipo gu­sano al trans­fe­rir la ca­de­na de VBS­cript cada vez que un nuevo host se co­nec­ta al clien­te com­pro­me­ti­do. Para mi­ti­gar estos ries­gos mien­tras se apli­ca una so­lu­ción de­fi­ni­ti­va, los pro­vee­do­res han emi­ti­do re­co­men­da­cio­nes a los usua­rios para des­ha­bi­li­tar los per­mi­sos de trans­fe­ren­cia de ar­chi­vos en la ad­mi­nis­tra­ción de sus ins­tan­cias.