UPD 03.07.2026: добавили правила и рекомендации, которые помогают обнаружить описанную вредоносную активность компаниям, использующим нашу SIEM-систему Kaspersky Unified Monitoring and Analysis Platform (KUMA).

Введение

Для подключения к скомпрометированным системам злоумышленники часто используют легитимные инструменты удаленного управления. На первый взгляд такие программы вызывают минимум подозрений: они подписаны официальными сертификатами, включены в список разрешенного корпоративными политиками ПО и полностью поддерживаются производителями ОС. Однако с их помощью атакующие получают возможности сбора данных с целевых устройств, установки вредоносного ПО и дальнейшего продвижения по инфраструктуре.

Так, в одном из инцидентов, зафиксированных сервисом Kaspersky Managed Detection and Response (MDR), мы обнаружили, что инструмент удаленного доступа ScreenConnect использовался для установки и запуска вредоносного модуля AsyncRAT.

Проведя детальный разбор этого инцидента, мы раскрыли масштабную кампанию, в рамках которой на поддельных веб‑ресурсах распространяются архивы‑установщики, замаскированные под популярные программы, — OBS Studio, DNS Jumper, DS4Windows, Bandicam и другие. Всего мы обнаружили более 90 доменных имен, локализованных на 10 языках. Вредоносные архивы содержат легитимный подписанный файл Microsoft install.exe и библиотеку install.res.1033.dll. Она загружается на устройство при помощи техники DLL sideloading и разворачивает сервис ScreenConnect, ожидающий дальнейших инструкций от злоумышленников.

Таким образом, изолированный случай со ScreenConnect стал отправной точкой в расследовании инфраструктуры C2-серверов злоумышленников. На всех обнаруженных нами сайтах использовалась одна и та же схема: под видом легитимного дистрибутива в систему загружался скрытый сервис удаленного администрирования ScreenConnect. Так атакующие сохраняли контроль над зараженными машинами. Жертвами этой кампании стали как отдельные пользователи, так и организации.

Мы продолжаем разбирать интересные многоэтапные инциденты в рамках цикла публикаций The SOC Files. В этой статье мы подробно рассмотрим техническую реализацию атаки со ScreenConnect и проанализируем инфраструктуру, подконтрольную злоумышленникам.

Расследование первичного инцидента

Как мы упомянули выше, основанием для расследования стало оповещение сервиса Kaspersky MDR, зафиксировавшего создание и запуск подозрительных скриптов PowerShell и VBS от процесса ScreenConnect.

О ScreenConnect

ScreenConnect — это легитимная утилита удаленного управления. Решения «Лаборатории Касперского» детектируют ее как not-a-virus:HEUR:RemoteAdmin.MSIL.ConnectWise.gen.

Утилита ScreenConnect была запущена как сервис с типом Access, что подразумевает возможность прямого удаленного подключения, с явным указанием сервера в командной строке:

От ScreenConnect осуществлялись создание и запуск PowerShell-скрипта Fj5NmEsp9EuKrun.ps1:

Ниже представлена часть содержимого этого скрипта:

Этот скрипт исключает из проверок Windows Defender следующие объекты:

• Все диски в системе: C:\, D:\ и т. д.
• Все директории в корне диска C:\ и в директории C:\Users\Public
• Процесс RegAsm.exe

Кроме того, скрипт отключает механизм контроля учетных записей пользователей UAC путем изменения параметра реестра ConsentPromptBehaviorAdmin на значение 0.

Затем от сервиса ScreenConnect создается VBS-скрипт:

installer_method3_stream.vbs создает в каталоге C:\Users\Public пять файлов (msgbox.txt, secret_bytes.txt, 1.vb, cap.ps1 и script.vbs) и сразу же инициирует их выполнение, запустив script.vbs.

Этот скрипт завершает все текущие процессы powershell.exe, чтобы скрыть следы своей работы, и запускает cap.ps1 в скрытом окне.

cap.ps1 читает содержимое файла secret_bytes.txt, извлекает из него последовательности вида [SXX- и переводит XX из шестнадцатеричного представления в байт. Затем скрипт расшифровывает каждый байт при помощи XOR-ключа 0xA7 и инвертирует порядок битов. Полученный массив байтов представляет собой готовый PE‑образ, который рефлективно загружается в CLR.

В загруженной сборке тип ConsoleApp1.Module1 содержит статический метод Run. С помощью рефлексии (Reflection.BindingFlags) скрипт получает ссылку на этот метод и вызывает его.

Метод Run реализует технику process hollowing (T1055.012): он создает новый процесс RegAsm.exe с флагом CREATE_SUSPENDED. В его адресное пространство полностью копируется деобфусцированный и расшифрованный PE-образ из secret_bytes.txt. В результате процесс RegAsm.exe больше не исполняет свой собственный код, а работает как «контейнер» для внедренного .NET‑модуля. Этот модуль представляет собой троянец удаленного доступа AsyncRAT.

Для закрепления создается задача планировщика с именем MasterPackager.Updater:

Эта задача вызывается каждые две минуты, гарантируя, что script.vbs (а значит, и весь набор загрузчиков) будет запущен даже после перезагрузки системы.

После успешного выполнения всех этапов процесс RegAsm.exe осуществляет соединение с С2-доменом mora1987[.]work[.]gd.

Мы провели ретроспективный анализ инцидента и выявили источник установки сервиса ScreenConnect. Им оказался скачанный пользователем архив obs-studio-windows-x64.zip.

Архив был скачан с сайта hxxps://www.studioobs[.]com/, который мимикрирует под официальный ресурс для загрузки OBS Studio, программы для записи экрана. Этот сайт доступен в поисковой выдаче при запросе соответствующего ПО — в рассматриваемом инциденте пользователь оказался на нем именно из результатов поиска, о чем мы подробнее расскажем далее.

При нажатии кнопки для скачивания якобы легитимной программы открывается следующий URL-адрес, откуда загружается архив:

Внутри архива содержится подписанный Microsoft легитимный файл install.exe (87603EA025623B19954E460ADD532048), переименованный под установщик OBS Studio, а также вредоносная библиотека install.res.1033.dll. Кроме того, в архиве находится папка Assets, хранящая в себе копию устанавливаемого ПО и утилиту ScreenConnect.

Полная структура файлов в архиве выглядит следующим образом:

При запуске файла OBS-Studio-Installer.exe методом DLL sideloading загружается библиотека install.res.1033.dll. В ней хранятся инструкции по установке ScreenConnect и OBS Studio. Установка производится стандартными средствами Windows (msiexec.exe), однако MSI-пакеты были переименованы в DLL-файлы следующим образом:

• Assets\x86\Data\vcredist_x64.dll — установщик ScreenConnect
• Assets\x86\Data\vcredist_x86.dll — установщик OBS Studio

Содержимое MSI-пакета vcredist_x64.dll выглядит следующим образом:

Запуск установщика Windows и последующая установка ScreenConnect производятся в тихом режиме без перезагрузки:

При завершении установки создается служба с названием Microsoft Update Service, а в командной строке явно указан сервер подключения r[.]servermanagemen[.]xyz.

При этом MSI-пакет с OBS Studio устанавливается в обычном графическом режиме.

Дальнейшие поиски

На дальнейшее расследование нас натолкнуло использование в атаке легитимного файла install.exe. Мы обнаружили, что этот файл используется под множеством других, подозрительных названий, включая следующие:

• ds4windows.exe
• crosshairx_installer.exe
• obs-studio-installer.exe
• dns jumper.exe
• glary utilities pro.exe
• processhacker-2.39-setup.exe

Эти имена свидетельствуют о том, что, помимо OBS Studio, злоумышленники маскировали архивы со ScreenConnect и под другое популярное ПО. Например, мы встречали поддельные установщики таких программ, как DS4Windows, DNS Jumper, Glary Utilities и Process Hacker. Интересно, что в популярных поисковых системах по запросу соответствующего ПО поддельные сайты оказываются в топе выдачи, а значит, злоумышленники используют методы поисковой оптимизации (SEO) для увеличения посещаемости страниц-приманок.

Поддельные «сайты с популярным ПО» в поисковой выдаче различных поисковиков

К примеру, так выглядит сайт поддельного установщика DNS Jumper:

В данном примере кнопка для скачивания ведет на следующий адрес:

Как и в случае с OBS Studio, на устройство жертвы загружается архив с аналогичной файловой структурой: переименованный легитимный файл install.exe, библиотека, загружаемая техникой DLL sideloading, и директория Assets с искомым ПО и ScreenConnect.

Похожим образом оформлены и другие поддельные веб-сайты, которые можно найти в поисковой выдаче при запросе соответствующего ПО.

Поддельные сайты для распространения ScreenConnect

Стоит отметить, что у большинства обнаруженных нами поддельных сайтов существует локализация на английский, русский и китайский языки. В некоторых случаях сайты также доступны на немецком, французском, испанском, арабском и других языках. Это говорит о том, что вредоносная кампания охватывает большое количество пользователей из различных стран.

Инфраструктура поддельных доменов

Для распространения ScreenConnect под видом бесплатного ПО злоумышленники создали большое количество доменных имен, располагающихся на трех IP-адресах, которые мы выделили в две отдельные ветки распространения.

Первый кластер: 162.216.241[.]242 и 198.23.185[.]81

Ниже представлен граф связей веб-сайтов кампании для адреса 162.216.241[.]242, на котором, в частности, расположен вышеупомянутый www[.]studioobs[.]com.

Проверив даты создания доменов на этом IP-адресе, мы обнаружили, что первоначально злоумышленники пытались маскировать свои ресурсы под различные игры:

Далее, начиная с января 2026 года, стали регистрироваться поддельные домены для маскировки под бесплатное ПО:

В этой части кампании по распространению ScreenConnect вредоносные архивы располагаются на ресурсе fileget.loseyourip[.]com. При этом сам ресурс расположен на другом хостинге:

Мы проанализировали этот IP-адрес и обнаружили, что на нем также располагаются и другие ресурсы, использующиеся в кампании, в том числе поддельные сайты игр и другие ссылки на загрузку:

Второй кластер: 2.59.134[.]97

Ниже представлен граф связей этого IP-адреса и доменов, располагающихся на нем. Стоит отметить, что, в отличие от предыдущего случая, на этом адресе также расположен и ресурс, на котором хранятся распространяемые вредоносные архивы, — direct-download.giize[.]com.

В этой части кампании злоумышленники не маскировали установщики под игры, а только создавали поддельные сайты с бесплатным ПО, установка которого одновременно устанавливала и ScreenConnect. Домены, располагающиеся на адресе 2.59.134[.]97, создавались с октября 2025 года по март 2026 года.

На диаграмме отображено количество созданных поддельных веб-сайтов по месяцам:

Исследование С2-инфраструктуры

Всего в рамках кампании мы зафиксировали десятки различных распространяемых архивов. Все они имеют однотипную структуру с вредоносной DLL install.res.1033.dll и MSI-пакетом со ScreenConnect по пути Assets\x86\vcredist_x64.dll.

В некоторых случаях в установочном пакете ScreenConnect также содержится архив с расширением .cab.

В этом архиве находится XML-файл system.config, содержащий адрес подключения к C2-серверу ScreenConnect:

Анализируя подобные установки ScreenConnect, мы обнаружили и другие С2-адреса, представленные на следующем графе:

На следующем графе показана инфраструктура C2-серверов AsyncRAT:

По датам создания C2-доменов можно утверждать, что кампания началась в октябре 2025 года и была приостановлена в конце марта, однако многие сайты-приманки на момент публикации остаются доступными в поисковой выдаче.

Заключение

Исследование единичного случая доставки AsyncRAT через ScreenConnect позволило нам раскрыть масштабную мультидоменную и мультиязычную инфраструктуру для распространения скрытого установщика этого ПО и дальнейшего развития атаки. Злоумышленники маскируют ScreenConnect под популярные программы и распространяют его через поддельные веб-сайты, имитирующие официальные страницы известных продуктов. Атакующие используют методы поисковой оптимизации, чтобы такие сайты оказывались на первых строчках в выдаче поисковых систем, например Google или Bing.

Эта цепочка ориентирована как на обычных конечных пользователей, которые скачивают бесплатные утилиты из интернета, так и на корпоративные сети, где инструменты удаленного доступа часто находятся в списке разрешенного ПО и обладают повышенными привилегиями.

Потенциальная цель кампании — массовая кража учетных данных и получение несанкционированного доступа к системам для дальнейшей перепродажи на теневых площадках.

Для снижения рисков, связанных с этой угрозой, мы рекомендуем следующее:

• внедрить строгий контроль за установкой программ (списки разрешенного ПО, блокировка установки MSI‑пакетов из непроверенных файлов);
• постоянно отслеживать появление новых сервисов удаленного администрирования и задач планировщика;
• фильтровать исходящий трафик к неизвестным доменам и IP‑адресам;
• регулярно обучать пользователей принципам безопасного скачивания;
• проверять подлинность источников программного обеспечения.

Для корпоративных пользователей особенно важной мерой, связанной с митигацией описанных в статье рисков, становится отслеживание учетных данных на предмет компрометации, поскольку утечка аккаунта или доступа к системам может послужить вектором развития дальнейших атак на организацию. Наш сервис Kaspersky Digital Footprint Intelligence осуществляет непрерывный мониторинг данных в открытых и теневых источниках, что позволяет своевременно среагировать на потенциальную угрозу.

Детектирование решениями «Лаборатории Касперского»

Сервис Kaspersky Managed Detection and Response детектирует вредоносную активность, описанную в этой статье, с помощью следующих индикаторов атаки:

1. Создание сервиса ScreenConnect с подозрительными параметрами
   

   logsource:                           product: windows             category: security detection:     selection_access:         EventID: 4697         Service File Name|contains:             - 'e=Access'             - 'ClientService.exe'     selection_support:         EventID: 4697         Service File Name|contains:             - 'e=Support'             - 'ClientService.exe'     condition: selection_access or selection_support

2. Запуск нетипичных дочерних процессов от сервиса ScreenConnect
   

   1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20

   logsource:     product: windows     category: process_creation detection:     selection:         ParentImage|endswith:             - '\\ScreenConnect.ClientService.exe'             - '\\ScreenConnect.WindowsClient.exe'             - '\\ScreenConnect.WindowsBackstageShell.exe'             - '\\ScreenConnect.WindowsFileManager.exe'         Image|endswith:             - '\\powershell.exe'             - '\\cmd.exe'             - '\\net.exe'             - '\\schtasks.exe'             - '\\sc.exe'             - '\\msiexec.exe'             - '\\mshta.exe'             - '\\rundll32.exe'     condition: selection

Кроме того, продукты «Лаборатории Касперского» детектируют описанное в статье вредоносное ПО со следующими вердиктами:

• Trojan.Win64.DLLhijack.*
• Trojan.VBS.Agent.*
• Trojan.PowerShell.Agent.bav
• Trojan.JS.SAgent.sb

Вредоносную активность на конечных точках можно отслеживать с помощью решения Kaspersky EDR Expert. В частности, необходимо детектировать выполнение команд и скриптов, содержащих подозрительные элементы в виде XOR-операций, которые могут использоваться для обфускации и деобфускации различных команд и данных в рамках работы ВПО на хосте. Эта активность обнаруживается правилами suspicious_assembly_loading_into_powershell_via_reflection_amsi и xored_powershell_command_amsi.

В дополнение к этому активность, связанная с закреплением вредоносного ПО в системе за счет создания, изменения или использования запланированных задач через утилиту schtasks.exe, детектируется с помощью правила scheduled_task_create_from_public_directory_via_schtasks.

Активность, связанная с внедрением вредоносного кода в процесс RegAsm.exe с целью маскировки выполнения и использования доверенного системного компонента, обнаруживается с помощью правила code_injection_to_unusual_process.

Визуализировать этапы атаки можно с помощью решения Kaspersky Cloud Sandbox на портале Threat Intelligence. Например, этот инструмент позволяет проследить цепочку развертывания и выполнения полезной нагрузки из исходного VBS-дроппера.

Помимо этого, на портале Kaspersky Threat Intelligence доступен поиск и визуализация связей между вредоносными доменами и файлами, задействованными в кампании. Мы продемонстрировали эти возможности в разделе описания инфраструктуры, подконтрольной злоумышленникам.

Движок Similarity в рамках Kaspersky Threat Analysis анализирует содержимое файлов и выполняет поиск образцов, похожих на исходный, что также может помочь выявить новые или ранее не обнаруженные вредоносные объекты.

Для защиты компаний, использующих нашу SIEM-систему Kaspersky Unified Monitoring and Analysis Platform (KUMA), в репозитории продукта доступны правила, которые помогают обнаружить подобную вредоносную активность.

• Добавление исключений из сканирования Windows Defender через реестр детектируется правилом R241_Изменение исключений Windows Defender через реестр. Добавление исключений через PowerShell (Add-MpPreference -ExclusionPath|ExclusionProcess) — R076_04_Отключение или изменение параметров Windows Defender через PowerShell.
• Обход механизма UAC через изменение ключа реестра ConsentPromptBehaviorAdmin детектируется правилом R242_Отключение UAC через реестр Windows.
• Запуск VBS-скриптов из общедоступной директории позволяет обнаружить правило R290_07_Запуск VBScript файлов из общедоступных директорий.
• Создание задачи с выполнением исполняемого файла из публичной директории покажет правило R099_01_Запуск задачи по расписанию из публичной директории.

Корректная работа правил требует настройки аудита событий 4657 Security для следующих веток реестра:

• HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths
• HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Procesess
• HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\ConsentPromptBehaviorAdmin

Также для разработки собственных правил детектирования или проведения активного поиска угроз (threat hunting) на предмет подозрительного поведения ScreenConnect рекомендуем обратить внимание на следующие события:

• Создание сервиса ScreenConnect с подозрительными параметрами
  

  DeviceEventClassID = '4697' AND FileName LIKE '%ClientService.exe%' AND (FileName LIKE '%e=Access%' OR FileName LIKE '%e=Support%')

• Запуск нетипичных дочерних процессов от сервиса ScreenConnect
  

  DeviceEventClassID = '4688' AND match(SourceProcessName, '.*\\\\ScreenConnect\\.(ClientService|WindowsClient|WindowsBackstageShell|WindowsFileManager)\\.exe') AND match(DestinationProcessName, '.*\\\\(powershell|cmd|net|schtasks|sc|msiexec|mshta|rundll32)\\.exe')

Загрузчики

B32810973132D11AFD61CCEE222BBB79
5B7E1FE55BD7B5EA54BD4ED1677E5A26
9A9CCD8B0E5D05F4EE77667B024844DB
0EEE9BAD07E22415439E854657FA1366
8F4E8B680D3E8D3F5AC39BD72882F713

Вредоносная библиотека install.res.1033.dll

5F96C04E3AFAE97017B201BE112284D2
73BEAD922109A61E5F9F85771A7812C5
EDFF4F58722C93D7C09ED71899416396
83601C3D4ED28E8D2BE1B99BEB8EC18C
695E794631EF130583368770E7B81E98
83601C3D4ED28E8D2BE1B99BEB8EC18C
1E6A5C7B620D487D0CFC6874C3B77C90
54025CE2A9405039899FE99A1D77E0BB
BD05FCF80E493CF9AA71EC510319469D
999A63730C9634481D1D76955A2E76A8
479BD3BB617B39CD4A46D0768A2592D4
776DFD3DF9C04BB9FCDD6C1880C3761A
8E4C57358A66EB14D31ABB614DDC68DE
A40D3AEB0DAE5B00BDB3A517F3135BBB
A85A5BFDCB7C65AB93043B8CF9E20065
01325880EFFFEC546F59490089A3B415

AsyncRAT С2

mora1987[.]work[.]gd

Адреса поддельных сайтов

ds4windows[.]io
direct-download[.]giize[.]com
tmodloader[.]org
tmodloader[.]app
ds4windows[.]net
losslessscaling[.]app
processhacker[.]dev
steamtools[.]pro
dnsjumper[.]app
free-download[.]camdvr[.]org
defendercontrol[.]org
dns-jumper[.]com
cpuz[.]app
processhacker[.]org
processhacker[.]app
steamtools[.]cc
cpuz[.]pro
wallpaper-engine[.]app
processhacker[.]net
antimicrox[.]net
defendercontrol[.]app
tmodloader[.]pro
dnsjumper[.]io
bandicam[.]app
mgba[.]app
dnsjumper[.]pro
ferdium[.]app
ds4windows[.]pro
lossless-scaling[.]online
defender-control[.]com
gom-player[.]app
defendercontrol[.]pro
lossless-scaling[.]download
antimicrox[.]pro
mgba[.]pro
lossless-scaling[.]app
losslessscaling[.]pro
mgba[.]dev
tmodloader[.]download
tmod-loader[.]com
defendercontrol[.]download
ferdium[.]pro
deadreset[.]com
gom-player[.]net
crosshairx[.]pro
libreoffice[.]pro
studioobs[.]com
studio-obs[.]net
crosshairxv2[.]com
km-player[.]com
corel-draw[.]net
glary-utilities[.]com
download-full-version[.]ooguy[.]com
crosshair-x[.]com
kms-tools[.]com
studio-obs[.]com
crosshairx[.]net
clair-obscur-33[.]com
vlc-player[.]net
arksurvival-ascended[.]com
elden-ringnightreign[.]com
ready-ornot[.]com
arma-reforger[.]com
crusader-kings[.]com
crosshairx2[.]com
mediaplayerclassic[.]net
bandizip[.]pro
obs-studio[.]site
ovr-advanced-settings[.]com
studio-obs[.]pro
vlc-media[.]com
clair-obscur-33[.]town
ovr-toolkit[.]com
crusader-kings[.]church
bandizip[.]net
apexlegends[.]org
obs-studio[.]pro
vlc-media[.]net
crosshairx[.]site
monster-hunterwilds[.]com
km-player[.]pro
mediaplayerclassic[.]pro
kms-tools[.]net
fernbus-simulator[.]com
studioobs[.]pro
bandicam[.]cc
crystaldiskmark[.]cc
crystaldiskmark[.]io
crystaldiskmark[.]dev
crystaldiskmark[.]app
crystaldiskmark[.]pro
bandicam[.]io

Инфраструктура поддельных доменов

fileget.loseyourip[.]com
file-download-crosshairx.giize[.]com
all-toll-free.loseyourip[.]com
mpc-update.giize[.]com
all-toll-free.publicvm[.]com
198.23.185[.]81
direct-download.giize[.]com

ScreenConnect C2

servermanagemen[.]xyz
185.254.97[.]249
r.manage-server[.]xyz
45.145.41[.]205
winservec[.]net
manageserver[.]xyz
cloudsynn[.]com
pingserv[.]pro
ehostservers[.]xyz
serverdnsplan[.]net
pingpanl[.]pro
managedevice[.]xyz
edgeserv[.]ru