Huntress zufolge verlief die Angriffskette in allen drei Fällen nach demselben vierstufigen Muster, bei dem jedes VBScript das nächste anstößt. Abhängig von einem sogenannten state-Wert, den die Kette in “%TEMP%\value.txt” ablegt, wurden mindestens drei verschiedene Nutzlasten festgestellt.
Besonders aggressiv fällt der Zweig “011” aus. Er greift, wenn auf dem System keine ScreenConnect-Installation und keine ScreenConnect-Clients vorhanden sind und Microsoft Defender das einzige installierte Endpunktschutzprogramm ist. In diesem Fall werden die Defender-Berichtsfunktionen abgeschaltet, die Windows-Speicherintegrität deaktiviert und ein XMRig-Miner zum Schürfen von Kryptowährung gestartet.
Zur Spurenbeseitigung dient ein PowerShell-Skript unter “%TEMP%\runner.ps1”: Es beendet sämtliche “wscript.exe”- und “cscript.exe”-Prozesse und löscht nach dem letzten Durchlauf das Staging-Verzeichnis. Steht der Wert in “%TEMP%\value.txt” auf 010 oder 011, schreibt 4.vbs die vier VBScript-Dateien zusätzlich nach “C:\Users\Public\Libraries\Default\Lib\Lib1”. Damit wird eine weitere Runde von Nutzlast-Auslieferungen angestoßen – der befallene Rechner mutiert zum Auslieferungsmechanismus für die Skripte.
“Das erzeugt wurmartiges Verhalten: Infektionen verbreiten sich über neue ScreenConnect-Verbindungen. Die Verbindung zu einem infizierten ScreenConnect-Client kann dazu führen, dass das serverseitige Host-System dieselbe vierstufige VBScript-Kette empfängt und ausführt”, erklärt Huntress. Der Client protokolliere später jede ConnectionID, um dieselbe aktive Sitzung nicht mehrfach anzugreifen, entferne diesen Bezeichner aber nach dem Trennen der Verbindung wieder – eine späteren Neuverbindung könne die Infektion damit erneut auslösen.
Als weitere gemeinsame Indikatoren nennt Huntress einen Run-Key namens WindowsServiceHost im Benutzerkontext, der auf eine Datei WindowsServiceHost.vbs im AppData-Verzeichnis des Nutzers verweist. Auf einigen betroffenen Systemen fanden die Analysten zudem weitere Werkzeuge zur Fernwartung und -überwachung (RMM), darunter UltraViewer.
Angesichts von Umfang und Komplexität der Angriffsketten empfahl das Security Operations Center von Huntress nachdrücklich, betroffene Hosts von bekannt sauberen Medien neu aufzusetzen oder das Betriebssystem komplett neu zu installieren.
ConnectWise hat als Reaktion auf die Erkenntnisse ein Advisory veröffentlicht. Darin bestätigt das Unternehmen ein Problem beim Dateiübertragungsverhalten in ScreenConnect-Sitzungen für Remote Access Support und Access; betroffen sind sowohl Cloud- als auch On-Premise-Bereitstellungen. Bis eine Korrektur bereitsteht, sollen Kunden das Risiko mindern, indem sie die Möglichkeit für Techniker, Dateien zu übertragen, deaktivieren.