Pesquisadores da Securonix identificaram uma campanha de ataques cibernéticos, batizada de SMOKE#SCREEN, que utiliza falsas atualizações do Adobe e do Zoom para instalar o ConnectWise ScreenConnect, software legítimo de acesso remoto, em computadores comprometidos. A estratégia permite que invasores mantenham acesso remoto persistente aos dispositivos das vítimas enquanto dificultam a detecção por ferramentas de segurança.
Segundo a análise, os criminosos distribuem as falsas atualizações por meio de e-mails de spear phishing, páginas fraudulentas em HTML e arquivos maliciosos, incluindo VBScript, arquivos em lote e executáveis desenvolvidos em .NET. Em algumas etapas da campanha, os downloads são hospedados em serviços confiáveis, como o Dropbox, ou utilizam Cloudflare Quick Tunnel, aumentando as chances de escapar dos filtros de segurança.
Antes de instalar a carga principal, os scripts verificam se o computador está sendo executado em máquinas virtuais ou ambientes de análise, procurando ferramentas como Wireshark, VirtualBox, VMware Tools e Fiddler. Caso detectem esses programas, interrompem automaticamente a infecção para evitar a análise por pesquisadores de segurança.
Se nenhuma ferramenta de análise for encontrada, o malware instala o ConnectWise ScreenConnect, que passa a se comunicar com servidores controlados pelos atacantes. Como o software é amplamente utilizado por equipes de suporte de TI para administração remota, sua presença costuma ser considerada legítima em muitos ambientes corporativos, permitindo que os criminosos mantenham o acesso ao computador sem despertar suspeitas.
Os pesquisadores também identificaram variantes mais agressivas da campanha, capazes de desativar a Antimalware Scan Interface (AMSI), solicitar privilégios administrativos, modificar configurações do Registro do Windows, desabilitar o Microsoft SmartScreen e remover a marca de origem (Zone.Identifier) dos arquivos baixados antes da instalação. Em versões mais recentes, os operadores passaram a adotar técnicas mais discretas, utilizando cargas criptografadas e atrasos na execução para dificultar a detecção por soluções de EDR.
Especialistas recomendam que usuários e empresas não instalem atualizações obtidas por links enviados por e-mail, realizem downloads apenas pelos sites oficiais da Adobe e do Zoom, mantenham soluções de proteção de endpoint atualizadas e monitorem a instalação de ferramentas de acesso remoto não autorizadas. Também é importante reforçar treinamentos contra phishing e revisar continuamente permissões concedidas a softwares de administração remota.
