{"id":50841,"date":"2026-09-01T23:55:21","date_gmt":"2026-09-01T21:55:21","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=50841"},"modified":"2026-09-01T23:55:21","modified_gmt":"2026-09-01T21:55:21","slug":"faronics-deploy-missbrauch-screenconnect-phishing-50841","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/faronics-deploy-missbrauch-screenconnect-phishing-50841\/","title":{"rendered":"Hacker missbrauchen Faronics Deploy zur Installation von ScreenConnect"},"content":{"rendered":"

Phishing-Akteure missbrauchen die legitime Endpunktverwaltungsplattform Faronics Deploy<\/a>, um auf den Computern ihrer Opfer administrative Fernzugriffsrechte zu erlangen und anschlie\u00dfend die Remote-Support-Software ScreenConnect zu installieren. Die Kampagne, die zwischen dem 21. Juli und dem 20. August beobachtet wurde, erreichte \u00fcber 457 Endpunkte \u2013 getarnt als Rechnungen, Steuerdokumente oder andere gesch\u00e4ftliche Dateien in t\u00e4uschend echten E\u2011Mails.<\/p>\n

Wie die Angreifer die Faronics\u2011Plattform kapern<\/h2>\n

Faronics Deploy ist eine cloudbasierte Endpunktverwaltungsl\u00f6sung, mit der IT\u2011Administratoren Computer remote anmelden, verwalten, Software bereitstellen und Skripte ausf\u00fchren k\u00f6nnen. Die eingebetteten Links in den Phishing\u2011Mails f\u00fchren potenzielle Opfer auf eine Website, die zun\u00e4chst das Zielsystem analysiert und bei einem echten Benutzer eine schadhafte Download\u2011Sequenz startet. Wird die Seite dagegen aus einer Analyseumgebung aufgerufen, aktiviert sie eine Ablenkungsroutine \u2013 etwa die Anzeige einer Fehlermeldung.<\/p>\n

Das potenzielle Opfer wird aufgefordert, einen legitimen, signierten Faronics\u2011Installer herunterzuladen und auszuf\u00fchren. Die Datei tarnt sich als Adobe\u2011Dokument, ein Leseprogramm oder ein Plugin\u2011Update, und tr\u00e4gt meist Namen wie \u201eAdobe.exe“. Sobald der Anwender den Installer startet, wird sein Computer in eine von den Angreifern kontrollierte Faronics\u2011Bereitstellung eingebunden.<\/p>\n

Die Infektionskette: Vom Installer zur Fernsteuerung<\/h3>\n

Nach der Einbindung nutzt der Bedrohungsakteur die remote\u2011Bereitstellungsfunktion von Faronics, um ohne weitere Benutzerinteraktion PowerShell\u2011Skripte auf dem infizierten Rechner auszuf\u00fchren. Diese Skripte laden zus\u00e4tzliche Werkzeuge aus der Infrastruktur der Angreifer oder von externen Quellen wie GitHub herunter. Am Ende jeder Installation steht eine weitere legitime Fernzugriffssoftware: ConnectWise ScreenConnect<\/a>.<\/p>\n

Huntress<\/a>, das Unternehmen f\u00fcr Managed Detection and Response (MDR), das die Aktivit\u00e4t analysierte, beschreibt unterschiedliche \u00dcbergabemethoden: \u201eIn den beobachteten Skripten kommen curl<\/i> oder mshta<\/i> zum Abruf weiterer Inhalte zum Einsatz, w\u00e4hrend andere Skripte msiexec<\/i> aufrufen, um Payloads zu installieren, die auf von den Angreifern kontrollierten Servern liegen. Diese Skripte installieren anschlie\u00dfend ScreenConnect und schaffen so einen zus\u00e4tzlichen Fernzugriffsmechanismus auf dem kompromittierten Endpunkt.\u201c<\/p>\n

Warum ScreenConnect als zweite Zugriffsinstanz<\/h2>\n

ScreenConnect bietet den Angreifern einen von Faronics unabh\u00e4ngigen Fernzugriffskanal. \u00dcber dieses Tool erhalten sie eine praktische, interaktive Remote\u2011Steuerung, die sich besser f\u00fcr direkte Eingriffe eignet. Gleichzeitig dient ScreenConnect als Redundanz: Sollte die schadhafte Faronics\u2011Bereitstellung erkannt und beendet oder der Faronics\u2011Agent von den Verteidigern entfernt werden, bleibt der Zugriff \u00fcber ScreenConnect bestehen.<\/p>\n

Reaktion von Faronics und R\u00fcckgang der Aktivit\u00e4t<\/h2>\n

Huntress informierte Faronics am 5. August \u00fcber die Ergebnisse. Der Hersteller best\u00e4tigte die beobachtete missbr\u00e4uchliche Nutzung und ergriff zus\u00e4tzliche Anti\u2011Missbrauchs\u2011Ma\u00dfnahmen. Zudem kontaktierte Faronics die betroffenen Organisationen und warnte sie vor der m\u00f6glichen Kompromittierung. Ab dem 21. August ging die schadhafte Aktivit\u00e4t signifikant zur\u00fcck \u2013 ein Zeichen, dass die Gegenma\u00dfnahmen wirkten.<\/p>\n

Erkennungshinweise f\u00fcr Administratoren<\/h2>\n

Huntress empfiehlt, das Verzeichnis C:\\ProgramData\\Faronics\\Logs\\<\/code>codecodecode auf eine Datei namens ScriptRunner.log<\/code>codecodecode zu \u00fcberpr\u00fcfen. Diese Datei kann die Namen und Download\u2011URLs der remote ausgef\u00fchrten Skripte enthalten. Auch der Parameter ck<\/code>codecodecode in den Konfigurationsanfragen von Faronics ist ein Indikator: Er identifiziert die zugeh\u00f6rige Kundenbereitstellung und kann helfen, kompromittierte Endpunkte oder schadhafte Konten aufzusp\u00fcren. Administratoren sollten zudem auf ungew\u00f6hnliche ScreenConnect\u2011Installationen achten, insbesondere auf Systemen, auf denen diese Software normalerweise nicht eingesetzt wird.<\/p>\n

Die Kampagne zeigt, wie Angreifer legitime Verwaltungstools f\u00fcr ihre Zwecke umfunktionieren. Unternehmen sollten ihre Endpunktverwaltungsl\u00f6sungen nicht nur auf bekannte Schwachstellen pr\u00fcfen, sondern auch das Verhalten legitimer Installations- und Fernzugriffsprozesse \u00fcberwachen \u2013 denn was wie ein Update aussieht, kann der Beginn eines vollst\u00e4ndigen Zugriffsverlusts sein.<\/p>\n","protected":false},"excerpt":{"rendered":"

Phishing-Akteure missbrauchen die legitime Endpunktverwaltungsplattform Faronics Deploy, um auf den Computern ihrer Opfer administrative Fernzugriffsrechte zu erlangen und anschlie\u00dfend die Remote-Support-Software ScreenConnect zu installieren. Die Kampagne, die zwischen dem 21. Juli und dem 20. August beobachtet wurde, erreichte \u00fcber 457 Endpunkte \u2013 getarnt als Rechnungen, Steuerdokumente oder andere gesch\u00e4ftliche Dateien in t\u00e4uschend echten E\u2011Mails. Wie […]<\/p>\n","protected":false},"author":5,"featured_media":53925,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/50841.png","fifu_image_alt":"Hacker missbrauchen Faronics Deploy zur Installation von ScreenConnect","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-50841","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/50841.png","fifu_image_alt":"Hacker missbrauchen Faronics Deploy zur Installation von ScreenConnect","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50841","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=50841"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50841\/revisions"}],"predecessor-version":[{"id":50843,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/50841\/revisions\/50843"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/53925"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=50841"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=50841"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=50841"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}