Formularul fals de rambursare, aplicația de control la distanță și partea în care se răspândește
ScreenConnect este un produs adevărat. Departamentele de informatică îl folosesc ca să preia controlul unui calculator de la distanță, exact de aceea îl adoră escrocii și exact de aceea o copie ajunsă pe un calculator de acasă este o veste atât de proastă. Huntress a publicat concluziile pe 3 septembrie, după ce la sfârșitul lui august a văzut aceeași infecție la trei victime fără legătură între ele.
Cele trei au ajuns acolo pe drumuri diferite, iar toate trei sunt drumuri pe care ar putea merge un om obișnuit. Una a fost condusă printr-o sesiune falsă de asistență Quick Assist. Alta a deschis un e-mail de phishing care conținea un fișier numit ScreenConnect.ClientSetup.msi. A treia căuta un formular de rambursare Geek Squad, adică finalul celui mai vechi e-mail înșelător din istorie, și a rulat în schimb un ScreenConnect.Client.exe dăunător. De acolo, clientul modificat pornește patru scripturi mici, de la 1.vbs la 4.vbs: primul măsoară calculatorul și verifică ce program de securitate este instalat, al doilea aduce de pe Dropbox o listă criptată de încărcături, iar ultimele două decriptează și rulează ceea ce lista a decis pentru dumneavoastră. Printre acestea s-au văzut o ușă ascunsă din spate, unelte pentru obținerea drepturilor de administrator, programe de tunelare și un miner de criptomonede, plus excluderi în Defender ca nimic din toate acestea să nu fie examinat.
Detaliul cel mai neplăcut este răspândirea. Clientul modificat abuzează de propria funcție de transfer de fișiere a ScreenConnect ca să împingă acele patru scripturi pe calculatoarele care se conectează la el, așa că un calculator infectat poate transmite problema sistemului tehnicianului, nu invers. ConnectWise recomandă acum dezactivarea permisiunilor de transfer de fișiere. Acasă, regula este mai simplă și mai veche: nimeni de la Best Buy, de la Microsoft sau de la banca dumneavoastră nu vă va suna niciodată ca să vă ceară să instalați un program de control la distanță. Dacă ați făcut-o deja, Huntress spune limpede care este remediul, și nu este o scanare antivirus. Calculatorul se reinstalează.
Tendvane verifică dacă pe calculator este instalat un program de acces la distanță, ca parte a Verificării de siguranță, astfel încât o unealtă apărută în timpul unei convorbiri telefonice pe care acum o regretați să nu rămână pur și simplu acolo, neobservată.