A campanha que se esconde após assinaturas válidas e usa ScreenConnect para implantar AsyncRAT e evitar a detecção

Uma campanha massiva tem explorado a ferramenta legítima de acesso remoto ScreenConnect (ConnectWise Control) como vetor para implantar AsyncRAT, uma porta traseira que permite controle remoto, roubo de informações e vigilância de ecrãs. Os atacantes criaram sites falsos que imitam páginas oficiais de utilidades populares e, graças a técnicas de otimização para motores de busca, conseguiram colocá-los em resultados do Google e do Bing para enganar vítimas que buscam downloads legítimos.

A técnica central da intrusão é engenhosa e perigosa: os arquivos instaladores contêm um executável assinado pela Microsoft junto com uma biblioteca DLL maliciosa que é carregada por DLL side‐loading, o que permite iniciar o serviço ScreenConnect sem levantar imediatamente as suspeitas. Depois disso, o ataque executa programas que manipulam a segurança do sistema — configurando exclusões na Microsoft Defender, debilitando UAC e usando VBScript e PowerShell — para implantar o módulo de AsyncRAT através Proess hollowing, uma técnica que injeta código em processos legítimos para evitar detecção. Essa combinação faz com que o compromisso passe por legítimo em muitos controles automáticos e manuais.

As implicações são claras: confiar cegamente em que um binário está assinado ou em que um serviço é conhecido não basta para garantir segurança. Os atacantes aproveitam a reputação de aplicativos populares e a capacidade de manipular resultados de busca para amplificar seu alcance, afetando usuários domésticos e organizações por igual. Além disso, a implantação de persistência por uma tarefa programada que é executada a cada dois minutos garante que a ameaça de reinício e dificulta a sua erradicação se não for detectada a tempo.

Em termos de detecção e resposta, há sinais concretos que podem ajudar a identificar compromissos: presença de arquivos invulgares em C:\Users\Public, tarefas programadas com nomes suspeitos, scripts que terminam processos PowerShell e modificações em exclusões de Defender. Ferramentas EDR e registros de eventos são fundamentais para reconstruir a cadeia de ataque e confirmar se foi produzido exfiltração ou captura de tela. Para compreender a técnica de injeção utilizada é útil consultar descrições técnicas como as que publica MITRE sobre Proess hollowing.

Como medidas concretas de mitigação, recomenda-se, em primeiro lugar, não baixar software a partir de resultados orgânicos sem verificar o URL oficial do fornecedor e preferir repositórios ou lojas verificadas. Em ambientes corporativos, limitar a instalação de software através de políticas de grupo e controle de aplicativos reduz a superfície de ataque. É imprescindível ativar a proteção contra manipulações em soluções antimalware, auditar e bloquear mudanças em exclusões de segurança, e monitorar tarefas programadas e serviços recém-criados. A Microsoft oferece guias e controles para endurecer Defender e telemetria que convém rever em suas recomendações para proteção de endpoints: Microsoft Defender for Endpoint.

Se se suspeitar de compromisso, o mais prudente é isolar a equipe da rede, preservar evidências (logs, imagens de memória) e coordenar com a equipe de resposta a incidentes para realizar uma análise forense. Reestabelecer credenciais afetadas, auditar acessos e revisar outros endpoints para detectar movimentos laterais devem ser parte da resposta. Em paralelo, avaliar o bloqueio da ferramenta ScreenConnect/ConnectWise Control em ambientes onde não seja estritamente necessária ou aplicar listas brancas e controles de rede ajudará a impedir reutilizações maliciosas do mesmo vetor; informações sobre o produto podem ser consultadas na página oficial do ConnectWise Control: ConnectWise Control.

Em suma, esta campanha demonstra que a ameaça nem sempre chega em um arquivo claramente malicioso: a combinação de engenharia social, abuso de assinaturas válidas, carga lateral de DLL e técnicas de evasão como process hollowing exige uma defesa em profundidade que combine prevenção, detecção baseada em comportamento e resposta rápida. Actualizar processos de download e verificação, fortalecer controles de endpoint e manter procedimentos de resposta a incidentes atualizados são passos práticos que reduzem significativamente o risco de sofrer esse tipo de intrusões.