Hackers exploram ScreenConnect para distribuir AsyncRAT por meio de instaladores falsos
Uma campanha maliciosa em larga escala vem explorando a ferramenta legítima de administração remota ScreenConnect para comprometer sistemas corporativos e domésticos. Os criminosos criaram um ecossistema completo de sites falsos e instaladores adulterados para instalar silenciosamente o ScreenConnect, ganhar acesso remoto às máquinas das vítimas e, em seguida, implantar o trojan de acesso remoto AsyncRAT.
Em vez de recorrer a malware óbvio, os atacantes se apoiam justamente na confiança que empresas e usuários depositam em softwares de suporte remoto e em programas populares gratuitos. Isso torna a campanha particularmente perigosa, já que muitos alvos acreditam estar baixando um aplicativo confiável para uma necessidade legítima, como gravar a tela ou configurar a rede.
Como funciona a cadeia de infecção
O ponto de partida da campanha é um conjunto de sites de download fraudulentos, criados com erros de digitação ou nomes muito parecidos com os de produtos conhecidos. Esses portais imitam softwares amplamente utilizados, como:
– OBS Studio
– DNS Jumper
– DS4Windows
– Bandicam
– Outros utilitários gratuitos populares
Para aumentar ainda mais o alcance, as páginas foram traduzidas ou localizadas para mais de dez idiomas, o que permite atingir vítimas em diferentes regiões geográficas sem levantar suspeitas. Técnicas de otimização para mecanismos de busca fazem com que muitos desses sites apareçam entre os primeiros resultados orgânicos, induzindo o usuário a acreditar que está diante da página oficial do software desejado.
Ao baixar o suposto instalador – por exemplo, um arquivo com nome do tipo `obs-studio-windows-x64.zip` – a vítima recebe um pacote compactado contendo:
– Um executável legítimo, `install.exe`, assinado pela Microsoft
– Uma DLL maliciosa complementar, `install.res.1033.dll`
– Uma pasta `Assets`, que inclui tanto o software “de isca” quanto um arquivo MSI do ScreenConnect reempacotado, muitas vezes disfarçado com nomes enganosos como `vcredist_x64.dll`
Abuso de binários confiáveis e carregamento lateral de DLL
A execução maliciosa começa quando o usuário roda o `install.exe` assinado. Por ser um binário de confiança, assinado pela Microsoft, sua execução normalmente não gera alertas imediatos de antivírus ou de controles de reputação. Porém, esse executável é explorado em um esquema de carregamento lateral de DLL (DLL sideloading): durante sua inicialização, ele carrega a DLL `install.res.1033.dll`, que foi adulterada pelos atacantes.
Essa DLL maliciosa é responsável por acionar o `msiexec` (instalador do Windows) para instalar silenciosamente o ScreenConnect. O serviço é implantado sob nomes aparentemente inofensivos, como “Serviço de Atualização da Microsoft”, de modo a não chamar a atenção de administradores ou usuários curiosos checando a lista de serviços do sistema.
Após a instalação discreta, o ScreenConnect passa a se conectar a servidores de gerenciamento controlados pelos invasores, que assumem o controle remoto do computador comprometido.
Scripts para desarmar a segurança do sistema
Uma vez ativo, o ScreenConnect é utilizado como plataforma para executar scripts PowerShell e VBScript que preparam o ambiente para o restante do ataque. Esses scripts realizam ações típicas de desativação e enfraquecimento da segurança:
– Adicionam exclusões no Microsoft Defender abrangendo pastas inteiras (por exemplo, raízes de disco), além de processos críticos para o ataque
– Alteram configurações de Controle de Conta de Usuário (UAC), definindo o parâmetro `ConsentPromptBehaviorAdmin` como `0` para eliminar avisos de elevação de privilégios
– Instalam componentes adicionais do payload em diretórios de uso público, como `C:UsersPublic`
Essa etapa garante que as próximas fases da infecção ocorram com menos interferência de soluções de segurança, facilitando a persistência e a furtividade do AsyncRAT.
Carregador em camadas e ofuscação do payload
A campanha recorre a um carregador em múltiplas camadas para esconder o payload principal. Um dos elementos-chave é um arquivo de dados criptografados, frequentemente chamado de `secret_bytes.txt`. Em vez de armazenar o malware diretamente, esse arquivo contém um bloco de dados ofuscados.
Um script PowerShell, como o `cap.ps1`, é usado para decodificar esses dados. O processo envolve:
1. Conversão de sequências marcadas com tags hexadecimais
2. Aplicação de uma operação XOR com a constante `0xA7`
3. Inversão da ordem dos bits, reconstruindo ao final uma imagem PE (Portable Executable) válida
Essa técnica torna difícil para ferramentas de segurança identificarem o payload apenas pela análise estática dos arquivos no disco, já que o executável completo só é montado em memória, em tempo de execução.
Carregamento reflexivo e execução do AsyncRAT
A equipe de Detecção e Resposta Gerenciadas (MDR) da Kaspersky identificou que o componente reconstruído é um assembly .NET responsável por carregar o AsyncRAT. Esse assembly é injetado diretamente no Common Language Runtime (CLR) por meio de carregamento por reflexão (reflective loading), sem ser gravado como arquivo separado no disco.
Em seguida, um método específico, como `ConsoleApp1.Module1.Run`, é chamado via reflexão para iniciar o fluxo malicioso. Dessa forma, o AsyncRAT é colocado em execução sem o tradicional processo de instalação, o que dificulta ainda mais a detecção por antivírus baseados em assinatura.
Esgaziamento de processo para evitar detecção
Para ocultar a presença do AsyncRAT, o carregador recorre à técnica de esvaziamento de processo (process hollowing). Nessa abordagem:
1. Um processo legítimo, como `RegAsm.exe` (ferramenta de registro de assemblies .NET), é iniciado em estado suspenso
2. A imagem de memória desse processo é substituída pelo código do AsyncRAT
3. O processo é retomado, agora executando o trojan dentro do contexto de um binário aparentemente legítimo
Como muitos mecanismos de segurança associam comportamentos suspeitos ao arquivo no disco e ao nome original do processo, essa substituição em memória ajuda a contornar heurísticas e assinaturas ligadas ao `RegAsm.exe` genuíno, diminuindo a chance de bloqueio automático.
Persistência por meio de tarefa agendada
Para garantir que o acesso remoto persista mesmo após reinicializações ou eventuais falhas, os invasores criam uma tarefa agendada com nome genérico, como `MasterPackager.Updater`. Essa tarefa é configurada para ser executada a cada dois minutos, relançando a cadeia de carregamento e restabelecendo o ambiente necessário ao AsyncRAT e ao ScreenConnect.
O uso de nomes que soam como componentes de atualização ou empacotadores de software reduz a probabilidade de que a tarefa seja removida em inspeções superficiais pelos administradores de TI.
Infraestrutura distribuída e gráfico de C2
Por meio de análise de pivotagem, os pesquisadores identificaram dois grandes clusters de infraestrutura relacionados à campanha, envolvendo múltiplos endereços IP e dezenas de domínios.
Alguns pontos observados:
– Os arquivos maliciosos eram distribuídos a partir de diferentes repositórios de arquivos e nós de download, o que aumenta a resiliência da operação
– Os arquivos de configuração do ScreenConnect (como o `system.config` contido em arquivos CAB) revelaram detalhes de conexão com servidores de comando e controle (C2)
– Artigos e artefatos adicionais associados ao AsyncRAT ajudaram a mapear um amplo grafo de comunicação entre bots, servidores intermediários e painéis de controle operados pelos atacantes
Os registros de data e hora sugerem que a campanha começou por volta de outubro de 2025 e se manteve ativa até pelo menos março de 2026. Apesar do tempo decorrido, muitas páginas falsas continuam acessíveis, o que indica que a ameaça ainda pode atingir novos alvos.
Tendências perigosas evidenciadas pela campanha
Esse caso ilustra uma combinação de tendências preocupantes no cenário atual de ameaças:
– Abuso de ferramentas legítimas: softwares de acesso remoto, projetados para suporte e administração, são convertidos em vetores de ataque, dificultando a distinção entre uso legítimo e malicioso
– Uso de binários assinados para mascarar a infecção: executáveis genuínos, assinados por grandes fabricantes, são explorados para carregar DLLs maliciosas, reduzindo as suspeitas iniciais
– Distribuição via SEO malicioso (SEO poisoning): os atacantes trabalham ativamente o ranqueamento de suas páginas falsas para capturar usuários diretamente nos resultados de busca
– Ofuscação sofisticada e execução somente em memória: a reconstrução do payload em memória e o uso de técnicas como process hollowing complicam a detecção por antivírus tradicionais
– Localização e escala global: páginas em múltiplos idiomas tornam a campanha transversal a países e setores, aumentando significativamente o potencial de vítimas
Impactos para empresas e usuários finais
Para empresas, o abuso de ferramentas como o ScreenConnect representa um risco crítico. Uma vez instalado e conectado aos servidores dos atacantes, os criminosos podem:
– Acessar remotamente estações de trabalho e servidores
– Exfiltrar dados sensíveis e credenciais
– Implantar ransomware, mineradores de criptomoeda ou outros malwares adicionais
– Usar o ambiente comprometido como ponto de apoio para movimentos laterais na rede
Usuários domésticos também correm perigo, já que o AsyncRAT fornece controle total do sistema, permitindo:
– Espionagem por meio de keylogging e captura de tela
– Roubo de contas de e-mail, redes sociais e serviços financeiros
– Instalação de adwares e malwares adicionais sem o conhecimento do usuário
Como se proteger dessa campanha e de ataques similares
Embora a campanha descrita use técnicas avançadas, há um conjunto de boas práticas que reduz muito a superfície de ataque:
1. Baixar software apenas de sites oficiais
Sempre verifique o domínio, o nome exato do produto e, quando possível, acesse o site do fabricante digitando o endereço manualmente no navegador em vez de confiar apenas em resultados de busca.
2. Desconfiar de instaladores compactados não usuais
Muitos softwares legítimos oferecem instaladores em `.exe` ou `.msi`, não necessariamente em arquivos `.zip` com múltiplos executáveis e DLLs sem explicação clara.
3. Inspecionar serviços e tarefas desconhecidas
Nomes como “Serviço de Atualização da Microsoft” ou “Updater” genérico devem ser analisados com cuidado. Verifique o caminho do executável, o fabricante e a assinatura digital.
4. Restringir o uso de ferramentas de acesso remoto
Em ambientes corporativos, limite a instalação e o uso de ferramentas de administração remota a soluções aprovadas e gerenciadas centralmente. Bloqueie ou alerte quando novas ferramentas desse tipo forem instaladas sem autorização.
5. Fortalecer o PowerShell e scripts
Configure políticas para limitar a execução de scripts PowerShell (como o uso de modo Constrained Language) e habilite logs detalhados, facilitando a investigação de possíveis abusos.
6. Manter soluções de segurança atualizadas
Utilize soluções de endpoint com capacidade de detecção baseada em comportamento e análise em memória, que sejam capazes de identificar técnicas como process hollowing e carregamento reflexivo.
7. Monitorar anomalias de rede
A comunicação com servidores C2 pode ser detectada por meio de análise de tráfego, listas de domínios suspeitos e monitoramento de conexões remotas incomuns.
Boas práticas específicas para equipes de TI e segurança
Para organizações que desejam elevar ainda mais seu nível de proteção contra ataques como esse, valem algumas medidas adicionais:
– Implementar listas de permissões (allowlist) de aplicações para impedir a execução de binários não autorizados, incluindo instaladores suspeitos.
– Utilizar EDR ou XDR para coletar telemetria detalhada de processos, serviços e scripts, ajudando na detecção precoce de cadeias de ataque em múltiplas etapas.
– Realizar caças proativas (threat hunting) buscando indicadores como instalação silenciosa de ScreenConnect, criação de tarefas agendadas com nomes suspeitos e exclusões amplas no Defender.
– Educar usuários finais sobre os riscos de baixar software de fontes não verificadas e sobre sinais de alerta típicos (páginas estranhas, erros grosseiros de tradução, solicitações de permissões incomuns).
Conclusão
A campanha que abusa do ScreenConnect para distribuir o AsyncRAT mostra como atacantes conseguem combinar engenharia social, SEO malicioso, abuso de confiança em software legítimo e técnicas avançadas de ofuscação para construir ataques discretos e eficientes. Ao mesmo tempo, expõe a urgência de reforçar práticas de segurança básicas – desde a atenção na hora de baixar um programa até o endurecimento das políticas de uso de ferramentas de acesso remoto.
Empresas e usuários que adotarem uma postura mais crítica em relação a downloads, privilegiarem fontes oficiais e mantiverem camadas robustas de proteção e monitoramento estarão muito melhor posicionados para evitar se tornar a próxima vítima desse tipo de operação.