Falešné aplikace pro HR instalují ScreenConnect pro vzdálený přístup

Podvodná kampaň napodobuje tři americké HR a mzdové platformy. Falešné aplikace pro Windows instalují ScreenConnect, přes který mohou útočníci získat trvalý vzdálený přístup k počítačům personalistů.

Bezpečnostní společnost Allure Security popsala kampaň, která využívá převážně legitimní služby a software. ScreenConnect od společnosti ConnectWise slouží ke vzdálené správě počítačů a správci ho běžně používají k podpoře uživatelů.

Oběť navštíví věrohodně vypadající web vytvořený pomocí nástroje Lovable a hostovaný na platformě Vercel. Soubor je uložený na GitHub Releases, takže odkaz vede na známou doménu a nemusí vzbudit podezření.

Stažený soubor spustí skutečný instalátor od Microsoftu a nainstaluje .NET Desktop Runtime 8.0.26. Zároveň bez viditelného okna přidá klienta ScreenConnect. Ten se spouští při startu Windows a zůstává připojený i mezi uživatelskými relacemi.

Uživatel nevidí upozornění na vzdálené ovládání, ikonu v systémové liště ani oznámení o připojení. Po dokončení instalace se navíc neotevře očekávaná HR aplikace.

Napodobené firmy nejsou ve zprávě jmenovány. Žádná ze tří platforem však ve skutečnosti nenabízí desktopovou aplikaci pro Windows. Allure Security zatím neví, jak útočníci možné oběti oslovují ani kolik počítačů ovládli.

U tří souborů bylo zaznamenáno celkem 291 stažení. Číslo zahrnuje také bezpečnostní výzkumníky a automatické testovací systémy, takže z něj nelze určit počet napadených firem.

Falešný program může odhalit už ověření, zda dodavatel vůbec nabízí desktopovou aplikaci. Běžná kontrola souborů tu nemusí stačit, protože kampaň využívá legitimní služby a software.