Falsas atualizações do Adobe e Zoom instalam ScreenConnect para garantir acesso remoto persistente

Pesquisadores da Securonix identificaram uma campanha ativa de múltiplas fases que utiliza falsas atualizações do Adobe e do Zoom, além de iscas envolvendo revisão de documentos corporativos e ferramentas de manutenção do Windows, para instalar o software legítimo de gerenciamento remoto ConnectWise ScreenConnect em computadores comprometidos. A operação foi batizada de SMOKE#SCREEN.

Segundo a análise, os ataques utilizam uma combinação de scripts VBScript, arquivos em lote, executáveis .NET e páginas de phishing em HTML para entregar a carga maliciosa. Todo o processo é apoiado por um servidor baseado em WsgiDAV, responsável tanto pela distribuição dos arquivos quanto pelo controle das máquinas infectadas. Até o momento, a campanha não foi atribuída a nenhum grupo de ameaças conhecido.

Após a infecção, o ScreenConnect é instalado e passa a se comunicar com um dos três servidores controlados pelos invasores, garantindo acesso remoto persistente ao equipamento comprometido. O uso de ferramentas legítimas de Remote Monitoring and Management (RMM) dificulta a detecção, pois esses softwares são amplamente utilizados por equipes de TI e costumam ser permitidos em ambientes corporativos.

A investigação começou após a descoberta de um servidor WsgiDAV ativo que hospedava os arquivos maliciosos e também funcionava como infraestrutura de comando e controle (C2) para sessões do ScreenConnect. A análise das configurações do cliente revelou três diferentes clusters de servidores, cada um associado a iscas distintas, incluindo falsas atualizações de software, visualizadores de documentos e solicitações de revisão de arquivos.

Os pesquisadores avaliam que o vetor inicial é o spear phishing. Os e-mails contêm scripts VBScript ofuscados que executam verificações para identificar ambientes de análise e máquinas virtuais antes de prosseguir. Entre os processos monitorados estão ferramentas como Wireshark, Process Monitor, VMware Tools, VirtualBox, Citrix XenServer e Fiddler. Caso algum desses programas esteja em execução, o malware interrompe sua atividade.

Se as verificações forem aprovadas, o script descriptografa um comando PowerShell que baixa e executa um carregador escrito em C#. Em outras variantes, os usuários são convencidos a executar scripts disfarçados como documentos corporativos, que também resultam na instalação do ScreenConnect.

Outra cadeia de ataque distribui um arquivo compactado contendo um script em lote que desativa a Interface Antimalware Scan Interface (AMSI), solicita elevação de privilégios via User Account Control (UAC), modifica o Registro do Windows para desabilitar o SmartScreen e remove a marca de origem (Zone.Identifier) do instalador MSI antes de executá-lo.

A campanha também alterna sua infraestrutura para dificultar bloqueios. Em uma das fases, uma página falsa de atualização do Zoom distribui os arquivos por meio de links compartilhados do Dropbox, aproveitando a reputação da plataforma para contornar filtros de segurança. Os pesquisadores também identificaram um carregador .NET que utiliza túneis temporários do Cloudflare Quick Tunnel, permitindo ocultar a infraestrutura utilizada pelos invasores.

Independentemente da isca utilizada, todas as cadeias convergem para a instalação do cliente ScreenConnect, permitindo que o operador abra sessões remotas e controle completamente o computador da vítima. Segundo a Securonix, a campanha demonstra uma evolução constante das técnicas utilizadas, alternando entre mecanismos agressivos de desativação do Microsoft Defender e abordagens mais furtivas com cargas criptografadas e técnicas para dificultar a detecção por soluções EDR.

Como medidas de mitigação, a empresa recomenda restringir a execução de arquivos MSI não confiáveis, monitorar tentativas de desativação de soluções de segurança, auditar o uso de ferramentas RMM, identificar execuções suspeitas de PowerShell e cmd.exe, além de reforçar as políticas de UAC para impedir elevação indevida de privilégios.

Em uma pesquisa separada, a Bitdefender alertou para outra campanha que utiliza instaladores falsos do Xeno Executor, um suposto cheat para Roblox, distribuído em fóruns de jogos e comunidades no Discord. Os arquivos instalam um malware em Java chamado Powercat, ativo desde o início de 2026, com aumento significativo de atividade a partir da segunda metade de março.

O Powercat vai muito além do roubo de credenciais. O malware é capaz de capturar cookies de navegadores, contas do Discord, Roblox e Minecraft, carteiras de criptomoedas, informações de pagamento, registrar teclas digitadas, acessar a webcam, transmitir a área de trabalho em tempo real, manipular arquivos, executar comandos PowerShell e fornecer controle remoto completo do sistema comprometido.

Antes de iniciar o roubo de dados, o malware identifica softwares instalados no computador para adaptar sua estratégia. Entre os alvos estão navegadores como Chrome e Edge, carteiras de criptomoedas como Exodus e SafePal, ferramentas de desenvolvimento, clientes VPN, aplicativos de mensagens e lançadores de jogos. No caso da carteira Exodus, o malware injeta código JavaScript na aplicação para capturar tokens válidos e enviá-los ao servidor de comando e controle.

Segundo a Bitdefender, golpes relacionados a jogos continuam sendo altamente eficazes por explorarem o interesse dos usuários em obter vantagens competitivas. Além do roubo inicial de informações, as funcionalidades de acesso remoto permitem que os invasores mantenham o controle do dispositivo, utilizem a máquina em outras atividades criminosas ou realizem novas ações maliciosas posteriormente.