Microsoft cảnh báo chiến dịch phishing lợi dụng MSP360 để cài ScreenConnect
"Microsoft reported phishing campaigns that abuse a digitally signed MSP360 RMM installer to gain initial access on Windows endpoints, then deploy ConnectWise ScreenConnect for redundant remote administration and post-compromise activity. The attack chain, observed in July 2026, uses deceptive file names, cloud-hosted payloads, UAC elevation, persistence via Windows services and autoruns, and firewall changes to maintain access; Microsoft also noted a related variant using Faronics Deploy Agent before installing ScreenConnect. No CVE was disclosed, and the primary mitigation is detection and blocking of the malicious installer chain and abuse of legitimate RMM tools."
Rủi ro cao do lạm dụng công cụ quản trị hợp lệ để che giấu hoạt động, thiết lập truy cập từ xa bền vững và mở rộng kiểm soát sau xâm nhập.
Có thể gây gián đoạn vận hành, tăng nguy cơ rò rỉ dữ liệu và làm phức tạp điều tra sự cố do lưu lượng và thao tác trông giống quản trị IT bình thường.
Microsoft cho biết đã phát hiện các chiến dịch phishing phát tán trình cài đặt MSP360 Remote Monitoring and Management (RMM) dưới dạng lời mời họp, tệp PDF giả mạo và thông báo cập nhật phần mềm. Khi được thực thi, bộ cài hợp lệ nhưng được đặt tên đánh lừa sẽ tạo điểm truy cập ban đầu trên máy Windows, sau đó tải và cài ConnectWise ScreenConnect để thiết lập kênh điều khiển từ xa dự phòng.
Chuỗi tấn công này được ghi nhận trong tháng 7/2026 và không có CVE nào được công bố. Microsoft cho biết các gói cài đặt được lưu trên hạ tầng do kẻ tấn công kiểm soát và cả các dịch vụ đám mây hợp pháp như Amazon S3, Cloudflare R2, Dropbox, GitLab và Supabase. Sau khi chạy, mã độc có thể dùng UAC elevation, tạo Windows services, thêm autorun trong Registry và chỉnh Windows Firewall để duy trì truy cập.
Ngoài biến thể dùng MSP360, Microsoft cũng quan sát một nhánh khác thay thế bằng Faronics Deploy Agent trước khi cài ScreenConnect. Khuyến nghị kỹ thuật là phát hiện và chặn bộ cài giả mạo, giám sát việc sử dụng RMM tools hợp lệ, kiểm tra thay đổi dịch vụ/autorun/firewall và rà soát các kết nối ra ngoài bất thường từ máy trạm.