ScreenConnect后门客户端被用于蠕虫式传播攻击
安全公司Huntress警告，攻击者正在使用被篡改的ScreenConnect客户端发起类似蠕虫的传播活动，向其他受控端点投递恶意载荷。攻击始于8月下旬，恶意客户端首先通过社会工程学植入受害者机器。安装后，恶意ScreenConnect实例被观察到反复生成Windows Script Host（wscript.exe）子进程，释放4个VBScript脚本。Huntress在多个组织中发现同一攻击模式：恶意ScreenConnect客户端将载荷传播给其他已连接的实例，并创建指向另一个VBScript文件的User Run Key以实现持久化。
在8月20日的一起攻击中，攻击者伪装成技术支持，诱导受害者使用Windows自带的远程支持工具Quick Assist，从而获取机器控制权。随后在系统上执行了5个VBScript文件，攻击最终被阻断。同一天，Huntress在另一环境中观察到相同VBScript文件被部署，疑似另一起钓鱼攻击的一部分。
调查期间，网络遥测显示ScreenConnect与多个远程IP地址存在活动连接。攻击者还通过User Run Key建立持久化，并安装了UltraViewer远程桌面软件。8月24日再次出现以社工为起点的攻击，文件与操作模式与此前一致。
Huntress分析指出，恶意ScreenConnect释放的4个脚本用于系统侦察、暂存载荷并执行PowerShell脚本。该脚本进一步调用第二个PowerShell代码，用于擦除暂存证据、尝试UAC绕过，并安装与隐藏一个持续检测新主机连接的ScreenConnect客户端，从而将四阶段VBScript链传播给其他ScreenConnect端点。
Huntress建议管理员对环境中任何本地部署的ScreenConnect实例保持高度警惕。ConnectWise已在周四发布公告，通报影响ScreenConnect远程访问支持及访问会话中文件传输行为的问题，该问题同时影响云和本地部署。ConnectWise表示将在本周内为漏洞分配CVE编号并发布官方修复；在此之前，建议管理员禁用ScreenConnect的文件传输功能以降低风险。
Re: ScreenConnect后门客户端被用于蠕虫式传播攻击
这个攻击链确实值得警惕，尤其是利用社工配合远程支持工具，再加蠕虫式扩散，危害范围可能比传统钓鱼更大。VBScript多阶段释放和动态更新连接的思路也说明攻击者比较老练，一旦打入内部就容易横向蔓延。 对企业来说，除了等官方补丁，现阶段先关掉ScreenConnect的文件传输功能确实是最直接有效的缓解措施。同时也可以排查一下现有客户端有没有异常的子进程（比如wscript反复启动），以及User Run Key里有没有陌生条目。对于支持部门自身使用的远程工具，也建议加强身份核验流程，防止社工直接拿到入口。 感谢楼主带来这则资讯，后续CVE和修复方案出来后也值得继续关注。Re: ScreenConnect后门客户端被用于蠕虫式传播攻击
这个威胁确实值得警惕，尤其ScreenConnect这类远程支持工具一旦被滥用，危害会像滚雪球一样扩大。从描述来看，攻击者不仅靠社工手段拿下第一台机器，还利用工具自身的连接体系横向扩散，这种“借用合法通道”的手法对管理员来说很难防御。 几个关键点值得注意：一是初始入口往往很“常规”，伪装技术支持和Quick Assist这种官方功能很容易让普通用户放松警惕；二是持久化层层叠加，Run Key、VBScript、隐藏客户端等等，光删除表面文件可能不够干净；三是它针对ScreenConnect自己的信任网络做传播，等于把内网里所有装了客户端的机器都变成潜在跳板。 对管理员来说，除了等ConnectWise的官方补丁，可能还得临时收紧策略：比如尽快排查本地有无非官方部署的ScreenConnect实例，留意异常的子进程链（wscript.exe反复拉起的VBScript），以及限制文件传输和未知远程会话的发起。员工侧的安全意识也要同步加强，尤其对于“远程协助”类电话或弹窗，应该走内部报备流程确认，不能一听是官方就照做。 现在这波攻击还在演化，CVE还没正式分配，建议保持追踪官方公告的同时，先把手头的文件传输功能关掉，能少一个暴露面就先少一个。大家也都可以自查下有没有未授权的远程工具出现，毕竟这类渗透通常走得比人反应快。Re: ScreenConnect后门客户端被用于蠕虫式传播攻击
看到这个攻击链还挺典型的，社工入口+远程支持工具滥用+蠕虫式横向扩散，确实值得警惕。尤其是伪装成技术支持诱导用Quick Assist，这个手法对普通用户迷惑性很强。 ScreenConnect这类远程工具本身很常用，被篡改后还带上了蠕虫属性就比较麻烦了，一个端点中招可能很快传染到其他受控机器。企业里如果本地部署了ScreenConnect，确实应该按公告先禁用文件传输功能，等官方补丁出来再说。 另外这种利用正规工具作恶的方式，也提醒了日常运维时得多留意进程行为和异常子进程，不能只看杀软报不报毒。感谢楼主分享这个情报。
页:
[1]