Signert skadevare utgir seg for Teams og Zoom og installerer fjernstyringsverktøy

Microsoft har avdekket flere phishing-kampanjer som bruker møteinvitasjoner, falske PDF-vedlegg, fakturaer og interne varsler som lokkemiddel. Lenkene leder til kjørbare filer som utgir seg for å være kjent programvare, blant annet msteams.exe, trustconnectagent.exe, adobereader.exe, zoomworkspace.clientsetup.exe og invite.exe. Filene var signert med et Extended Validation-sertifikat utstedt til TrustConnect Software PTY LTD. Etter kjøring installerte de legitime fjernstyringsverktøy som ScreenConnect, Tactical RMM og Mesh Agent, som ga angriperen varig tilgang og mulighet til å bevege seg videre i miljøet.

Hva det betyr for virksomheten

Angrepet er utformet for å passere alle de vanlige kontrollene. Filen er signert, navnet er kjent, og verktøyet som installeres er programvare mange IT-avdelinger bruker selv. Da hjelper det lite å be ansatte se etter noe mistenkelig. Konsekvensen er en angriper som sitter med samme type fjerntilgang som driftsleverandøren deres, med kurs mot datatyveri eller utpressing. Særlig utsatt er virksomheter uten oversikt over hvilke fjernstyringsverktøy som faktisk skal finnes i miljøet.

Berigo anbefaler

• Lag en liste over hvilke fjernstyringsverktøy dere godkjenner, og blokker resten med applikasjonskontroll framfor å oppdage dem i ettertid.
• Sett opp deteksjon som varsler når et nytt fjernstyringsverktøy installeres eller starter, uavhengig av om filen er signert.
• Fjern lokale administratorrettigheter for vanlige brukere, slik at installasjonen stopper allerede der.
• Ta med i opplæringen at en gyldig signatur og et kjent programnavn ikke er noe bevis, og at nedlasting av møteklienter skal gå gjennom IT.

Kilde

• microsoft.com