Phishing-Akteure missbrauchen die legitime Endpunktverwaltungsplattform Faronics Deploy, um auf den Computern ihrer Opfer administrative Fernzugriffsrechte zu erlangen und anschließend die Remote-Support-Software ScreenConnect zu installieren. Die Kampagne, die zwischen dem 21. Juli und dem 20. August beobachtet wurde, erreichte über 457 Endpunkte – getarnt als Rechnungen, Steuerdokumente oder andere geschäftliche Dateien in täuschend echten E‑Mails.
Wie die Angreifer die Faronics‑Plattform kapern
Faronics Deploy ist eine cloudbasierte Endpunktverwaltungslösung, mit der IT‑Administratoren Computer remote anmelden, verwalten, Software bereitstellen und Skripte ausführen können. Die eingebetteten Links in den Phishing‑Mails führen potenzielle Opfer auf eine Website, die zunächst das Zielsystem analysiert und bei einem echten Benutzer eine schadhafte Download‑Sequenz startet. Wird die Seite dagegen aus einer Analyseumgebung aufgerufen, aktiviert sie eine Ablenkungsroutine – etwa die Anzeige einer Fehlermeldung.
Das potenzielle Opfer wird aufgefordert, einen legitimen, signierten Faronics‑Installer herunterzuladen und auszuführen. Die Datei tarnt sich als Adobe‑Dokument, ein Leseprogramm oder ein Plugin‑Update, und trägt meist Namen wie „Adobe.exe“. Sobald der Anwender den Installer startet, wird sein Computer in eine von den Angreifern kontrollierte Faronics‑Bereitstellung eingebunden.
Die Infektionskette: Vom Installer zur Fernsteuerung
Nach der Einbindung nutzt der Bedrohungsakteur die remote‑Bereitstellungsfunktion von Faronics, um ohne weitere Benutzerinteraktion PowerShell‑Skripte auf dem infizierten Rechner auszuführen. Diese Skripte laden zusätzliche Werkzeuge aus der Infrastruktur der Angreifer oder von externen Quellen wie GitHub herunter. Am Ende jeder Installation steht eine weitere legitime Fernzugriffssoftware: ConnectWise ScreenConnect.
Huntress, das Unternehmen für Managed Detection and Response (MDR), das die Aktivität analysierte, beschreibt unterschiedliche Übergabemethoden: „In den beobachteten Skripten kommen curl oder mshta zum Abruf weiterer Inhalte zum Einsatz, während andere Skripte msiexec aufrufen, um Payloads zu installieren, die auf von den Angreifern kontrollierten Servern liegen. Diese Skripte installieren anschließend ScreenConnect und schaffen so einen zusätzlichen Fernzugriffsmechanismus auf dem kompromittierten Endpunkt.“
Warum ScreenConnect als zweite Zugriffsinstanz
ScreenConnect bietet den Angreifern einen von Faronics unabhängigen Fernzugriffskanal. Über dieses Tool erhalten sie eine praktische, interaktive Remote‑Steuerung, die sich besser für direkte Eingriffe eignet. Gleichzeitig dient ScreenConnect als Redundanz: Sollte die schadhafte Faronics‑Bereitstellung erkannt und beendet oder der Faronics‑Agent von den Verteidigern entfernt werden, bleibt der Zugriff über ScreenConnect bestehen.
Reaktion von Faronics und Rückgang der Aktivität
Huntress informierte Faronics am 5. August über die Ergebnisse. Der Hersteller bestätigte die beobachtete missbräuchliche Nutzung und ergriff zusätzliche Anti‑Missbrauchs‑Maßnahmen. Zudem kontaktierte Faronics die betroffenen Organisationen und warnte sie vor der möglichen Kompromittierung. Ab dem 21. August ging die schadhafte Aktivität signifikant zurück – ein Zeichen, dass die Gegenmaßnahmen wirkten.
Erkennungshinweise für Administratoren
Huntress empfiehlt, das Verzeichnis C:\ProgramData\Faronics\Logs\codecodecode auf eine Datei namens ScriptRunner.logcodecodecode zu überprüfen. Diese Datei kann die Namen und Download‑URLs der remote ausgeführten Skripte enthalten. Auch der Parameter ckcodecodecode in den Konfigurationsanfragen von Faronics ist ein Indikator: Er identifiziert die zugehörige Kundenbereitstellung und kann helfen, kompromittierte Endpunkte oder schadhafte Konten aufzuspüren. Administratoren sollten zudem auf ungewöhnliche ScreenConnect‑Installationen achten, insbesondere auf Systemen, auf denen diese Software normalerweise nicht eingesetzt wird.
Die Kampagne zeigt, wie Angreifer legitime Verwaltungstools für ihre Zwecke umfunktionieren. Unternehmen sollten ihre Endpunktverwaltungslösungen nicht nur auf bekannte Schwachstellen prüfen, sondern auch das Verhalten legitimer Installations- und Fernzugriffsprozesse überwachen – denn was wie ein Update aussieht, kann der Beginn eines vollständigen Zugriffsverlusts sein.
