Nach Einschätzung von Securonix zeigt Smoke#Screen eine „klare Weiterentwicklung im Zeitverlauf“. Aaron Beardslee, Manager of Threat Research bei Securonix, hob gegenüber Dark Reading mehrere Merkmale hervor, die die Kampagne von anderen RMM-basierten Angriffen abheben. Dazu zählt vor allem die Kombination aus wechselnden Nutzlasten und unterschiedlich angelegten Ködern.
Laut Bericht nutzt die Kampagne ein Werkzeugset aus VBScript-Droppern, Batch-Datei-Loadern, kompilierten .NET-Programmen und einer HTML-Phishing-Seite, die letztlich alle auf einen aktiven Staging-Server verweisen. Zwar ist das Rotieren von Schadnutzlasten unter Angreifern inzwischen üblich, doch Beardslee zufolge ist ungewöhnlich, dass hier sogar zwischen einzelnen Download-Sitzungen gewechselt wurde. Securonix erklärt, die Angreifer hätten Payload-Hashes aktiv unterhalb einzelner Download-Sitzungen rotiert, um hashbasierte Erkennung über mehrere Untersuchungszeiträume hinweg wirkungslos zu machen.
Auch bei den Ködern setzt Smoke#Screen breiter an als viele vergleichbare Kampagnen. Statt Variationen eines einzigen Themas einzusetzen, verwendeten die Angreifer laut Beardslee vier psychologisch unterschiedliche Kontexte. Zoom- und Adobe-Updates zielen auf Gewohnheiten von Nutzern nicht verwalteter oder privater Geräte im BYOD-Modell. Köder zur Dokumentenprüfung greifen alltägliches E-Mail-Verhalten in Unternehmen auf. Eine „SystemCheck“-Wartungsanwendung ist wiederum so gestaltet, dass eine Benutzerkontensteuerungsabfrage glaubwürdig wirkt. Laut Bericht sollte diese Vielfalt die potenzielle Opferbasis maximieren.
Ausgangspunkt der Untersuchung war ein einzelner VBScript-Dropper namens „zoom-update.vbs“, der in der Telemetrie von Securonix auftauchte. Die Forscher verfolgten die Spur zu einem aktiven Staging-Server, auf dem ein vollständiges Arsenal von 15 einzigartigen Nutzlasten lag. Nach eigenen Angaben rekonstruierten sie durch die Kartierung der Infrastruktur und die Analyse aller gesammelten Proben fünf unterschiedliche Angriffsketten, identifizierten drei separate ScreenConnect-Relay-Server und dokumentierten, wie sich die Techniken des Akteurs von frühen vorsichtigen Mustern bis zur aktuell aggressivsten Konfiguration entwickelt haben.
Besonders tiefen Einblick erhielten die Forscher, weil die Betreiber laut Beardslee große Teile ihres eigenen Vorgehens offengelegt hatten. Demnach lag der C#-Quellcode in einem offenen Verzeichnis direkt neben den kompilierten Builds. Dadurch konnte Securonix nachverfolgen, wie Funktionen zwischen Versionen ergänzt wurden und dass zwei Binärdateien in Wahrheit dieselbe Datei unter verschiedenen Namen waren.
Beardslee nannte zudem mehrere Umgehungstechniken, die auf unterschiedlichen Ebenen ansetzen: „Dropbox für Reputation, einen Cloudflare Quick Tunnel für Anonymität und eine echte ConnectWise-DigiCert-Signatur auf der Nutzlast selbst, wobei jede Schicht eine andere Kontrolle aushebelt und keine einzelne Kontrolle jemals den gesamten Stapel sieht.“ Gleichzeitig beobachteten die Forscher Abläufe, die sich teilweise widersprachen und Verhaltensweisen enthielten, die nicht recht zu demselben Betreiber zu passen schienen. Securonix blieb dennoch bei der Einordnung als „fähiger, aktiv gepflegter und sich schnell anpassender Bedrohungsakteur, der ein diversifiziertes Werkzeugset aufgebaut hat“.
Warum der Missbrauch von RMM-Werkzeugen so attraktiv ist, fasst Beardslee knapp zusammen: „Die Nutzlast ist keine Schadsoftware, und genau das ist das Problem.“ Es gebe kein Kommando-und-Kontroll-Protokoll mit eindeutiger Signatur, keine unsignierte Binärdatei, keinen injizierten Prozess und nach der Installation nichts Auffälliges im Prozessbaum — nur einen korrekt signierten ConnectWise-Dienst, der genau das tue, wofür ConnectWise ihn gebaut habe, einschließlich vollständiger interaktiver Desktop-Steuerung und einer DLL für die Anmeldeinformationsbereitstellung.
Securonix empfiehlt deshalb verhaltensbasierte Erkennungen für Manipulationen an Defender, unautorisierte RMM-Installationen, ScreenConnect-Verbindungen zu reinen IP-Adressen und Muster zur zeitlichen Umgehung von Endpunkterkennung und -reaktion. Hinzu kommen die Vorgabe, die Benutzerkontensteuerung auf „Immer benachrichtigen“ zu setzen, Standardnutzern das Umgehen solcher Abfragen bei administrativen Aufgaben zu verwehren und EDR-Regeln zu etablieren, die auffällige Eltern-Kind-Prozessbeziehungen erkennen — etwa wenn powershell.exe oder cmd.exe den Prozess msiexec.exe mit stillen Installationsparametern startet. Für Smoke#Screen gelte besonders, dass Cloudflare-Tunnel, Dropbox, von ConnectWise signierte Binärdateien und eigenständige verschlüsselte Bündel signatur- und reputationsbasierte Kontrollen allein unzureichend machten.