Das falsche Rückerstattungsformular, die Fernsteuerungs-App und der Teil, in dem es sich verbreitet
ScreenConnect ist ein echtes Produkt. IT-Abteilungen übernehmen damit die Kontrolle über einen Computer aus der Ferne, weshalb Betrüger es lieben und weshalb eine Kopie davon auf einem Heim-PC so schlechte Nachrichten sind. Huntress veröffentlichte seine Erkenntnisse am 3. September, nachdem es Ende August dieselbe Infektion bei drei nicht miteinander verbundenen Opfern gesehen hatte.
Die drei kamen über verschiedene Wege dorthin, und alle drei sind Wege, die ein normaler Mensch gehen könnte. Einer wurde durch eine gefälschte Quick-Assist-Supportsitzung geführt. Einer öffnete eine Phishing-Mail mit einer Datei namens ScreenConnect.ClientSetup.msi. Der dritte suchte nach einem Geek-Squad-Rückerstattungsformular, also dem Endstück der ältesten Betrugsmail überhaupt, und führte stattdessen eine bösartige ScreenConnect.Client.exe aus. Von dort startet der manipulierte Client vier kleine Skripte, 1.vbs bis 4.vbs: das erste vermisst den Rechner und prüft, welche Sicherheitssoftware installiert ist, das zweite holt eine verschlüsselte Liste von Schadprogrammen von Dropbox, und die letzten zwei entschlüsseln und starten, wofür die Liste Sie vorgesehen hat. Dabei waren schon eine versteckte Hintertür, Werkzeuge zum Erlangen von Administratorrechten, Tunnelsoftware und ein Kryptomining-Programm, dazu Defender-Ausnahmen, damit sich nichts davon angeschaut wird.
Der fiese Kniff ist die Verbreitung. Der veränderte Client missbraucht ScreenConnects eigene Dateiübertragung, um diese vier Skripte auf Rechner zu schieben, die sich mit ihm verbinden. Ein infizierter Computer kann das also an das System des Technikers weitergeben, nicht umgekehrt. ConnectWise rät nun dazu, die Berechtigungen für Dateiübertragung abzuschalten. Zu Hause lautet die Regel einfacher und älter: Niemand von Best Buy, Microsoft oder Ihrer Bank wird Sie jemals anrufen und bitten, eine Fernsteuerungssoftware zu installieren. Wenn es schon passiert ist, wird Huntress deutlich, was hilft, und ein Virenscan ist es nicht. Der Rechner wird neu aufgesetzt.
Tendvane prüft im Rahmen seiner Sicherheitsprüfung, ob Fernzugriffssoftware auf Ihrem PC installiert ist, damit ein Werkzeug, das während eines inzwischen bedauerten Telefonats hereinkam, nicht einfach unbemerkt liegen bleibt.