// TOM'S HARDWARE ITALIA — HARDWARE & GADGET
Un falso software di sicurezza nasconde ScreenConnect nei PC
Un gruppo di truffatori sta distribuendo una versione personalizzata di ScreenConnect attraverso email che imitano le comunicazioni di Bank of America. L'operazione trasforma un legittimo strumento di gestione remota in una porta d'accesso al computer e, sui sistemi Windows, modifica permessi e servizi per ostacolarne l'individuazione e la rimozione.
Il messaggio sostiene che il destinatario debba intervenire per evitare limitazioni al conto. Chi apre il collegamento viene indirizzato verso una pagina contraffatta, ma il percorso cambia in base al sistema operativo. Agli utenti Mac vengono richiesti credenziali, informazioni personali e dati finanziari; quelli Windows ricevono invece l'invito a installare un presunto software di protezione chiamato Account Guard.
Il pulsante per aggiornare le informazioni scarica l'archivio AccountGuardSetup.zip. Al suo interno si trova AccountGuardSetup.vbs, uno script che avvia una catena composta da più stadi e porta all'installazione di un client RMM controllato dagli aggressori. Questi possono quindi collegarsi da remoto al computer compromesso. L'indirizzo IP impiegato dall'infrastruttura è localizzato negli Emirati Arabi Uniti ed è stato associato anche alle comunicazioni di comando e controllo di altre famiglie di malware.
Gli script contengono numerosi blocchi di dati codificati in Base64, inseriti per complicare l'analisi. Una volta decodificato, il primo blocco restituisce un exploit pubblico per il bypass UAC: lo script PowerShell finale può così installare il pacchetto sc.msi con privilegi amministrativi senza mostrare la normale richiesta di conferma. La pressione psicologica ricorda le campagne in cui lo spam sembra provenire da un indirizzo interno reale, costruite per ridurre i controlli del destinatario prima del clic.
Dopo l'installazione, ScreenConnect viene registrato come servizio di Windows con il nome “Windows Security”, scelto per confondersi con i componenti del sistema. Un secondo blocco, cifrato con AES, genera un altro VBScript che elimina dal Registro di sistema la chiave associata all'installer e rimuove il programma dall'elenco delle applicazioni installate, impedendo la normale procedura di disinstallazione.
La catena utilizza inoltre il linguaggio SDDL e specifiche ACL SDDL per negare all'utente la possibilità di modificare il servizio e per nascondere il relativo processo. Anche strumenti comuni come services.msc, Get-Service e sc.exe query non mostrano il servizio “Windows Security”. Completate le modifiche, lo script PowerShell principale elimina i due script intermedi, riducendo ulteriormente le tracce disponibili sul sistema.
I domini usati dalle pagine contraffatte, kleinschnitg[.]com e sectioncompil[.]com, non hanno alcuna somiglianza con quello autentico della banca e possono essere riconosciuti controllando la barra degli indirizzi. La distribuzione appare estesa e non personalizzata: lo stesso impianto realizza un attacco multipiattaforma, rubando dati sui Mac e installando l'accesso remoto sui PC Windows, così da ampliare il numero delle potenziali vittime.
Aggiungi Tom's Hardware alle tue fonti preferite su Google