Il finto modulo di rimborso, l'app di controllo remoto e il punto in cui si diffonde
ScreenConnect è un prodotto vero. I reparti informatici lo usano per prendere il controllo di un computer da lontano, ed è esattamente per questo che i truffatori lo adorano, e perché una sua copia che finisce su un PC di casa è una notizia così brutta. Huntress ha pubblicato i propri risultati il 3 settembre, dopo aver visto la stessa infezione in tre vittime senza legami tra loro alla fine di agosto.
Le tre ci sono arrivate per strade diverse, e sono tutte strade che una persona normale potrebbe imboccare. Una è stata guidata attraverso una finta sessione di assistenza Quick Assist. Una ha aperto un'e-mail di phishing con un file chiamato ScreenConnect.ClientSetup.msi. La terza cercava un modulo di rimborso Geek Squad, cioè la coda della più vecchia e-mail truffaldina in circolazione, e ha invece eseguito un ScreenConnect.Client.exe malevolo. Da lì il client manomesso lancia quattro piccoli script, da 1.vbs a 4.vbs: il primo misura la macchina e verifica quale software di sicurezza è installato, il secondo scarica da Dropbox un elenco cifrato di payload, e gli ultimi due decifrano ed eseguono ciò per cui l'elenco vi ha selezionato. Fin qui si sono visti una backdoor nascosta, strumenti per ottenere i diritti di amministratore, software di tunneling e un miner di criptovalute, più esclusioni in Defender perché nulla di tutto questo venga esaminato.
Il tocco più sgradevole è la diffusione. Il client modificato abusa della funzione di trasferimento file di ScreenConnect per spingere quei quattro script sulle macchine che si collegano a lui, così un computer infetto può passare il problema al sistema del tecnico anziché il contrario. ConnectWise ora consiglia di disattivare i permessi di trasferimento file. A casa la regola è più semplice e più antica: nessuno di Best Buy, di Microsoft o della vostra banca vi telefonerà mai per chiedervi di installare un software di controllo remoto. Se l'avete già fatto, Huntress è netta sul rimedio, e non è una scansione antivirus. La macchina si reinstalla.
Tendvane verifica se sul PC è installato software di accesso remoto nell'ambito del suo Controllo di sicurezza, così uno strumento arrivato durante una telefonata di cui ora vi pentite non resta semplicemente lì senza che nessuno se ne accorga.