Der Angriffsweg kommt ohne Schadsoftware im klassischen Sinn aus: Opfer werden aufgefordert, einen legitimen, signierten Faronics-Deploy-Installer herunterzuladen und auszuführen, der als Adobe-Dokument, Reader-Anwendung oder Plugin-Update getarnt ist. Häufig trägt die Datei den Namen „Adobe.exe". Wird sie gestartet, meldet sich der Rechner in einer von den Angreifern kontrollierten Faronics-Bereitstellung an.
Von dort aus nutzt der Angreifer die Fernbereitstellungsfunktion der Plattform, um ohne weiteres Zutun des Nutzers PowerShell-Skripte auf dem registrierten System auszuführen. Diese Skripte laden weitere Werkzeuge von der Infrastruktur der Angreifer oder von externen Quellen wie GitHub nach.
„Die Auslieferungsmethode variiert zwischen den Skripten; in beobachteten Beispielen wurden curl oder mshta zum Abruf weiterer Inhalte verwendet, andere riefen msiexec auf, um auf angreiferkontrollierter Infrastruktur gehostete Payloads zu installieren", so Huntress. „Diese Skripte werden anschließend genutzt, um ScreenConnect zu installieren und damit einen zusätzlichen Fernzugriffsmechanismus auf dem kompromittierten Endpunkt einzurichten."
ScreenConnect verschafft den Angreifern einen von Faronics unabhängigen zweiten Zugangskanal. Er eignet sich besser für interaktive, direkte Fernsteuerung und dient zugleich als Rückfallebene, falls die missbräuchliche Faronics-Bereitstellung entdeckt und beendet oder ihr Agent von Verteidigern entfernt wird.
Für die Spurensuche verweist Huntress auf das Verzeichnis „C:\ProgramData\Faronics\Logs": Eine dort abgelegte Datei ScriptRunner.log kann die Namen ferngesteuert ausgeführter Skripte sowie deren Download-URLs enthalten. Als weiteren Indikator nennt das Unternehmen den Parameter „ck" in Faronics-Konfigurationsanfragen — er identifiziert die zugehörige Kundenbereitstellung und hilft dabei, kompromittierte Endpunkte oder bösartige Konten zu erkennen.
Administratoren sollten zudem nach ScreenConnect-Installationen auf Systemen suchen, auf denen die Software regulär gar nicht ausgerollt wird.