Un finto aggiornamento di Zoom o di Adobe, la revisione di un documento aziendale, un controllo di manutenzione del sistema: sono le quattro esche di SMOKE#SCREEN, campagna attiva su pi� ondate documentata da Securonix Threat Research, e portano tutte allo stesso punto di arrivo. Sulla macchina della vittima viene installato in silenzio un client ScreenConnect, il software di monitoraggio e gestione remota di ConnectWise, configurato per contattare un relay in mano agli attaccanti anzich� un sistema aziendale autorizzato.
Il pacchetto finale � un MSI ConnectWise autentico, firmato con una catena di certificati DigiCert valida, e supera quindi i controlli degli strumenti di sicurezza che rispettano la firma del codice. L'accesso che ne deriva � pari a quello di un trojan scritto su misura, con in pi� il fatto che l'attivit� risultante somiglia a una normale sessione di assistenza tecnica. L'operazione non � stata attribuita ad alcun gruppo noto; il vettore d'accesso iniziale � ricondotto allo spear-phishing.
L'indagine � partita da un singolo dropper VBScript finito nella telemetria dell'azienda, zoom-update.vbs, ed � arrivata a un server di staging WsgiDAV attivo su 207.174.0.143:8080 che durante le analisi esponeva a un normale browser l'elenco completo delle sue directory, quindici payload distinti. La stessa macchina ospita sulla porta 8041 il relay ScreenConnect primario: consegna i file alle vittime e mantiene il controllo sugli host gi� compromessi. Gli hash dei payload cambiano fra una sessione di download e l'altra, il che rende inefficace il rilevamento basato sugli hash.
