Chiến dịch SEO-poisoning lạm dụng ScreenConnect để triển khai AsyncRAT
"Unknown threat actors are using spoofed software download sites and SEO poisoning to distribute malicious installer archives that abuse ScreenConnect for remote access and deploy AsyncRAT on Windows systems. The attack chain uses DLL side-loading, PowerShell and VBScript execution, Defender exclusion changes, UAC suppression, process hollowing, and scheduled-task persistence to maintain control, steal data, and monitor victims; no CVE is mentioned."
Tác động cao do kết hợp remote access với nhiều kỹ thuật né phòng thủ và duy trì truy cập: DLL side-loading + process hollowing + scheduled task.
Nguy cơ gián đoạn và rò rỉ dữ liệu đáng kể vì có thể chiếm quyền điều khiển và ghi màn hình trên nhiều đối tượng từ cá nhân đến tổ chức.
Các tác nhân đe doạ chưa rõ danh tính đang lợi dụng ScreenConnect (công cụ truy cập từ xa) để triển khai AsyncRAT trên hệ thống Windows. Theo Kaspersky, hoạt động này thuộc một chiến dịch quy mô lớn, đa miền và đa ngôn ngữ, sử dụng các trang tải phần mềm giả mạo cùng kỹ thuật SEO poisoning để đưa người dùng đến kho lưu trữ cài đặt độc hại.
Các gói cài đặt giả mạo được ngụy trang như phần mềm phổ biến như OBS Studio, DNS Jumper, DS4Windows và Bandicam. Kaspersky ghi nhận hơn 90 tên miền được bản địa hoá trên 10 ngôn ngữ, một số được thiết lập từ 08/2025 đến 03/2026. Bên trong, bộ cài đính kèm một tệp install.exe hợp lệ đã ký số của Microsoft cùng thư viện độc hại install.res.1033.dll.
Chuỗi tấn công bao gồm DLL side-loading, thực thi PowerShell và VBScript, thay đổi cấu hình để loại trừ Microsoft Defender, ức chế UAC, cùng kỹ thuật process hollowing để nạp module AsyncRAT. Sau đó, malware kết nối tới máy chủ điều khiển từ xa mora1987.work[.]gd để chiếm quyền điều khiển, đánh cắp dữ liệu và ghi lại nội dung màn hình. Duy trì truy cập bằng scheduled task tên MasterPackager.Updater chạy mỗi 2 phút.
Khuyến nghị: rà soát các máy có cài đặt/khởi tạo ScreenConnect bất thường, kiểm tra thay đổi Defender exclusions, giám sát hành vi PowerShell/VBScript và process hollowing, đồng thời chặn các tên miền/URL liên quan đến chiến dịch.