Chiến dịch giả mạo ứng dụng desktop nhắm vào nhân sự để cài ScreenConnect
"A phishing-style campaign impersonates HR and payroll vendors with fake Windows desktop apps that actually install ConnectWise ScreenConnect for persistent remote access. The installers use legitimate-looking delivery channels and a Microsoft .NET runtime setup to mask the payload; no CVE is mentioned, and the recommended fix is to verify whether vendors truly offer desktop apps and warn HR/payroll staff about the scam."
Rủi ro truy cập từ xa trái phép vào máy trạm nhân sự, có thể dẫn đến lộ dữ liệu nhạy cảm và mở đường cho xâm nhập sâu hơn vào hệ thống nội bộ.
Có thể ảnh hưởng đến dữ liệu lương thưởng và hồ sơ nhân sự, gây gián đoạn vận hành và phát sinh chi phí xử lý sự cố, điều tra và khắc phục.
Một chiến dịch lừa đảo đang giả mạo các nhà cung cấp HR và payroll bằng cách quảng bá ứng dụng Windows desktop không có thật. Khi người dùng tải và chạy bộ cài, nó âm thầm cài ConnectWise ScreenConnect để tạo quyền truy cập từ xa bền vững vào máy tính nạn nhân.
Theo báo cáo của Allure Security, các trang tải xuống được dựng bằng Lovable và lưu trữ trên Vercel, sau đó che sau lớp bot challenge để tránh bị lập chỉ mục. Tệp cài đặt được phát hành qua GitHub Releases, khiến liên kết trông đáng tin cậy hơn. Bộ cài còn hiển thị trình cài đặt hợp lệ của Microsoft .NET Desktop Runtime 8.0.26, làm người dùng tin rằng ứng dụng đang được cài đặt bình thường.
Điểm đáng chú ý là ScreenConnect được cấu hình ở chế độ unattended, tắt các dấu hiệu cảnh báo cho người dùng như banner điều khiển từ xa hay biểu tượng khay hệ thống. Phần mềm cũng được thiết lập chạy khi khởi động, giúp kẻ tấn công duy trì truy cập qua nhiều phiên làm việc.
Khuyến nghị: xác minh với nhà cung cấp HR/payroll xem họ có thực sự cung cấp desktop app hay không; cảnh báo nhân viên HR và payroll về chiêu trò này; và rà soát máy trạm để phát hiện ScreenConnect hoặc các công cụ RMM không được phép.