Bilgisayar korsanları ScreenConnect erişimini gizlemek için sahte masaüstü uygulamaları kullanıyor

TechRadar’ın aktardığı Allure araştırmasına göre siber suçlular, ABD’deki üç büyük insan kaynakları ve bordro platformunu sahte masaüstü uygulaması teklifleriyle taklit etti. Platformların adları açıklanmadı.

Araştırmacılar, saldırganların markaları taklit eden ancak masaüstü istemcileri sunan açılış sayfaları hazırlamak için meşru bir yapay zekâ destekli web sitesi oluşturma hizmeti olan Lovable’ı kullandığını söyledi. Platformlar, tarayıcı üzerinden erişilen bulut tabanlı hizmetler ve habere göre meşru masaüstü istemcileri yok.

İndirme düğmesine tıklayan kişilere GitHub Releases üzerinden bir yürütülebilir dosya sunuldu. Dosya, meşru bir uzaktan erişim ve BT destek aracı olan ConnectWise’ın ScreenConnect ürününün bir varyantıydı. Araştırmacılar, aracın gözetimsiz erişim için yapılandırıldığını; kontrol banner’ı, sistem tepsisi simgesi ve bağlantı bildirimi gibi göstergelerin kapatıldığını belirtti. Bu ayar, saldırganların kullanıcıya bildirim gitmeden bağlanmasına olanak verebilir.

Allure saldırganları tanımlamadı veya kampanyanın başarılı olup olmadığını söylemedi. GitHub’ın indirme sayfasında 291 indirme görünüyordu; ancak bu sayı kurbanların ya da başarılı saldırıların sayısını göstermez. Araştırmacılar ve otomatik analiz sistemleri de dosyayı indirmiş olabilir. Araştırmacılara göre kampanya finans ve insan kaynakları departmanlarını hedef almış görünüyor. Allure, erişimin bordro dolandırıcılığında kullanılabileceğini öne sürdü; ancak saldırganların amacını doğrulamadı ve herhangi bir kayıp bildirmedi.