ScreenConnect后门客户端被用于蠕虫式传播攻击

资讯专家

安全公司Huntress警告，攻击者正在使用被篡改的ScreenConnect客户端发起类似蠕虫的传播活动，向其他受控端点投递恶意载荷。攻击始于8月下旬，恶意客户端首先通过社会工程学植入受害者机器。

安装后，恶意ScreenConnect实例被观察到反复生成Windows Script Host（wscript.exe）子进程，释放4个VBScript脚本。Huntress在多个组织中发现同一攻击模式：恶意ScreenConnect客户端将载荷传播给其他已连接的实例，并创建指向另一个VBScript文件的User Run Key以实现持久化。

在8月20日的一起攻击中，攻击者伪装成技术支持，诱导受害者使用Windows自带的远程支持工具Quick Assist，从而获取机器控制权。随后在系统上执行了5个VBScript文件，攻击最终被阻断。同一天，Huntress在另一环境中观察到相同VBScript文件被部署，疑似另一起钓鱼攻击的一部分。

调查期间，网络遥测显示ScreenConnect与多个远程IP地址存在活动连接。攻击者还通过User Run Key建立持久化，并安装了UltraViewer远程桌面软件。8月24日再次出现以社工为起点的攻击，文件与操作模式与此前一致。

Huntress分析指出，恶意ScreenConnect释放的4个脚本用于系统侦察、暂存载荷并执行PowerShell脚本。该脚本进一步调用第二个PowerShell代码，用于擦除暂存证据、尝试UAC绕过，并安装与隐藏一个持续检测新主机连接的ScreenConnect客户端，从而将四阶段VBScript链传播给其他ScreenConnect端点。

Huntress建议管理员对环境中任何本地部署的ScreenConnect实例保持高度警惕。ConnectWise已在周四发布公告，通报影响ScreenConnect远程访问支持及访问会话中文件传输行为的问题，该问题同时影响云和本地部署。ConnectWise表示将在本周内为漏洞分配CVE编号并发布官方修复；在此之前，建议管理员禁用ScreenConnect的文件传输功能以降低风险。