[Cybersecurity] ScreenConnect sotto attacco: catena VBScript a quattro stadi trasforma i client in worm

Una recente indagine di Huntress ha messo in luce una sofisticata campagna di malware che sfrutta ConnectWise ScreenConnect per trasformare i client legittimi in veicoli di diffusione automatica. La tecnica, descritta come “worm‑like”, si basa su una sequenza di quattro script VBScript (1.vbs → 2.vbs → 3.vbs → 4.vbs) che si attivano ogni volta che un host si collega a un client compromesso, propagando l’infezione a nuovi sistemi.

Meccanismo di attacco a quattro stadi

Una volta installato il client ScreenConnect, il malware avvia ripetutamente wscript.exe per eseguire i quattro file VBScript. Ogni script lancia il successivo, creando una catena che culmina con il file 4.vbs. Questo script copia i quattro file in C:\Users\Public\Libraries\Default\Lib\Lib1 (se il valore in %TEMP%\value.txt è 010 o 011) e avvia un processo runner.ps1 che elimina tutti i processi wscript.exe o cscript.exe residui e rimuove la directory di staging.

Vettori di accesso iniziale

Huntress ha identificato tre incidenti indipendenti, ognuno con un metodo di ingresso differente:

• Scam Quick Assist: gli aggressori si spacciano per supporto tecnico e convincono l’utente a concedere l’accesso remoto.
• Installer MSI via phishing: un’email di phishing contiene un file MSI maligno che, una volta eseguito, avvia la catena VBScript.
• Modulo falsificato “Geek Squad”: una falsa pagina di rimborso induce l’utente a scaricare un file dannoso.

Comportamento worm e diffusione

Il client compromesso registra ogni ConnectionID per evitare di colpire la stessa sessione più volte, ma rimuove l’identificatore al termine della connessione. Questo meccanismo permette al malware di riattivarsi su future riconnessioni, trasformando ogni nuovo host collegato in un ulteriore punto di distribuzione.

Payload e impatto

Il valore di stato “011” indica un sistema privo di ScreenConnect, con solo Microsoft Defender attivo. In questo scenario il payload aggiuntivo:

• Disabilita la segnalazione di Microsoft Defender.
• Disattiva la protezione di integrità della memoria di Windows.
• Installa il miner di criptovaluta XMRig, sfruttando le risorse CPU del dispositivo.

Altri indicatori includono una chiave di avvio WindowsServiceHost che punta a WindowsServiceHost.vbs nella cartella AppData dell’utente e la presenza di altri RMM (Remote Monitoring and Management) come UltraViewer.

Raccomandazioni di mitigazione

Data la complessità della catena e la capacità di auto‑propagarsi, Huntress consiglia di:

1. Re‑image dei sistemi compromessi da media verificati e puliti.
2. Applicare patch e aggiornamenti di ConnectWise ScreenConnect non appena disponibili.
3. Disabilitare temporaneamente la funzionalità di trasferimento file per i tecnici, come suggerito dall’advisory di ConnectWise.
4. Eseguire scansioni approfondite con soluzioni EDR/AV aggiornate per individuare eventuali residui di .vbs o .ps1.

Risposta di ConnectWise

ConnectWise ha rilasciato un advisory che riconosce un problema nel comportamento di trasferimento file di ScreenConnect, valido sia per le versioni Cloud che On‑Premise. Fino al rilascio di una correzione, l’azienda raccomanda di disabilitare la possibilità per i tecnici di trasferire file durante le sessioni remote.

Dal punto di vista economico e industriale, la scoperta evidenzia una vulnerabilità critica in un tool ampiamente adottato per il supporto remoto, con potenziali ricadute su settori che dipendono da assistenza tecnica rapida (IT, sanità, finanza). La necessità di re‑image massivi e di interventi di mitigazione può generare costi operativi significativi e rallentare la continuità di servizio, spingendo le aziende a rivedere le politiche di gestione degli accessi remoti e a investire maggiormente in soluzioni di sicurezza a più livelli.