Huntress zufolge folgen die Angriffe einem wiederkehrenden Ablauf. Bei einem Vorfall am 20. August gab sich ein Angreifer als technischer Support aus und wies das Opfer an, das in Windows integrierte Fernwartungswerkzeug Quick Assist zu starten. Damit erlangte der Täter Kontrolle über den Rechner und führte fünf VBScript-Dateien aus, bevor der Angriff gestoppt werden konnte.
Am selben Tag registrierte Huntress dieselben VBScript-Dateien in einer weiteren Umgebung — vermutlich im Rahmen eines anderen Phishing-Angriffs. „Der betrügerische ScreenConnect-Client startete nahezu sofort die vier VBScript-Dateien aus dem temporären ScreenConnect-Verzeichnis. Im Verlauf der Untersuchung zeigte die Netzwerktelemetrie zudem aktive Verbindungen von ScreenConnect zu mehreren entfernten IP-Adressen", schreibt Huntress. In diesem Fall richtete der Angreifer ebenfalls Persistenz über den User-Run-Key ein und installierte zusätzlich die Fernwartungssoftware UltraViewer.
Dieselben Dateien und Abläufe beobachtete Huntress bei einem weiteren Angriff am 24. August, der ebenfalls mit Social Engineering begann.
Die vier von den manipulierten Clients ausgelieferten Skripte sind darauf ausgelegt, das System auszukundschaften, Nutzlasten bereitzustellen und ein PowerShell-Skript auszuführen. Dieses startet ein zweites PowerShell-Skript, das die Spuren der Staging-Phase löscht, einen Umgehungsversuch der Benutzerkontensteuerung (UAC) unternimmt und schließlich einen versteckten ScreenConnect-Client installiert. Dieser prüft laufend auf neu verbundene Hosts, um die vierstufige VBScript-Kette an weitere ScreenConnect-Endpunkte weiterzureichen — der Mechanismus, der die Kampagne selbstverbreitend macht.
„Aus unseren Gesprächen mit ConnectWise und nach unserem derzeitigen Verständnis des Risikos empfehlen wir Administratoren, alle On-Premises-Installationen von ScreenConnect in ihrer Umgebung besonders genau zu prüfen", so Huntress.
ConnectWise veröffentlichte am Donnerstag eine Sicherheitsmitteilung zu dem Problem beim Verhalten der Dateiübertragung in ScreenConnect-Sitzungen für Fernzugriff und Support. Es betrifft Cloud- wie On-Premises-Bereitstellungen gleichermaßen. Eine CVE-Nummer und ein offizieller Fix sollen innerhalb der Woche erscheinen. Als Übergangsmaßnahme rät der Hersteller Administratoren, die Dateiübertragungsfunktion in ScreenConnect zu deaktivieren, um das Risiko zu senken.