Javas Corner - Para peneliti keamanan siber mengungkap detail aktivitas mirip worm yang menyalahgunakan ConnectWise ScreenConnect untuk mendistribusikan muatan Visual Basic Script atau VBScript berbahaya ke sistem yang baru terhubung.
Menurut Huntress, tiga insiden yang tidak terkait ditemukan menggunakan beragam metode akses awal. Metode tersebut meliputi penipuan dukungan teknis Quick Assist, penginstal MSI yang dikirim melalui phishing, serta umpan formulir pengembalian dana Geek Squad palsu. Ketiganya bertujuan untuk mengaktifkan rantai VBScript empat tahap yang berujung pada instalasi ScreenConnect jahat.
Setelah instance ScreenConnect terpasang, Huntress mengamati klien berulang kali menjalankan wscript.exe untuk mengeksekusi VBScript bernama 1.vbs, 2.vbs, 3.vbs, dan 4.vbs. Insiden tersebut terpantau pada Agustus 2026.
Rincian ketiga serangan tersebut menunjukkan pola yang serupa. Serangan rekayasa sosial membujuk pengguna menjalankan Quick Assist sebagai bagian dari penipuan dukungan teknis. Setelah itu, klien akses jarak jauh ScreenConnect jahat dikerahkan untuk menghubungi server command and control atau C2 yang terletak di alamat IP tertentu. Di alamat tersebut terdapat arsip RAR berisi empat file VBS.
Installer MSI yang kemungkinan dikirim melalui phishing menyebarkan klien ScreenConnect yang dikonfigurasi untuk berkomunikasi dengan alamat IP lain pada port 8041. ScreenConnect jahat tersebut hampir segera menjalankan empat file VBScript dari direktori sementara.
Pencarian formulir pengembalian dana Geek Squad menyebabkan penyebaran klien ScreenConnect jahat yang kemudian terhubung ke domain tertentu. Sesi tersebut selanjutnya menggunakan wscript.exe untuk mengeksekusi empat skrip VBS dari folder Temp.
Dalam berbagai insiden ini, urutan serangan mengikuti proses empat langkah di mana setiap VBScript meluncurkan VBScript berikutnya.
1.vbs bertugas memprofilkan host, memeriksa sumber daya sistem seperti apakah RAM lebih dari 5 GB, memverifikasi apakah ScreenConnect terinstal, dan menghitung produk keamanan termasuk Cisco AMP, CrowdStrike, Huntress, Malwarebytes, SentinelOne, Sophos, dan Symantec Endpoint Protection. Hasil pemeriksaan ditulis ke file value.txt dalam bentuk variabel status tiga bit.
2.vbs menunggu file value.txt muncul dan memeriksa keberadaan kata "abort". Jika kata tersebut tidak ada, skrip mengunduh file dari Dropbox, mendekode isinya, dan menulisnya ke file map.txt. Sifat pasti muatan yang diambil belum jelas karena tautan Dropbox sudah tidak aktif sejak 2 September 2026.
3.vbs bekerja serupa dengan menunggu map.txt lalu mengunduh file yang relevan dari tautan Dropbox berdasarkan nilai status yang ditetapkan oleh 1.vbs dan menulisnya ke file out.enc.
4.vbs menunggu keberadaan out.enc yang diunduh lalu meluncurkan skrip PowerShell untuk mendekripsi isinya, menulisnya ke direktori tertentu, dan mengeksekusi skrip PowerShell tahap kedua.
Setidaknya tiga muatan berbeda terdeteksi berdasarkan nilai status. Status 000 dan 001 mengarah ke backdoor ScreenConnect tingkat pengguna. Status 010 mengarah ke alat untuk peningkatan hak akses melalui bypass User Account Control dan persistensi. Status 011 mengarah ke utilitas tunneling dan penambang mata uang kripto.
Selain itu, runner.ps1 mengambil langkah untuk menghentikan setiap proses wscript.exe atau cscript.exe dan menghapus direktori staging setelah tahap akhir dijalankan. Skrip 4.vbs juga menulis empat file VBScript ke folder tertentu jika nilai status diatur ke 010 atau 011.
Hal ini memicu putaran pengiriman muatan baru yang secara efektif mengubah host yang terinfeksi menjadi mekanisme pengiriman konten untuk skrip berbahaya setiap kali klien backdoor mengamati koneksi Host baru.
"Ini menciptakan perilaku seperti worm: menyebarkan infeksi melalui koneksi ScreenConnect baru. Menghubungkan ke klien ScreenConnect yang terinfeksi dapat menyebabkan sistem Host sisi server menerima dan mengeksekusi rantai VBScript empat tahap yang sama," jelas Huntress.
Klien kemudian mencatat setiap ConnectionID untuk menghindari penargetan berulang pada sesi aktif yang sama, tetapi menghapus pengenal tersebut setelah terputus sehingga koneksi ulang berikutnya dapat memicu infeksi lagi.
Huntress juga menemukan indikator tambahan berupa WindowsServiceHost User Run Key yang menunjuk ke WindowsServiceHost.vbs di direktori AppData pengguna. Alat remote monitoring and management lain seperti UltraViewer juga teramati pada beberapa host yang terdampak.
Pada cabang nilai status 011 yang berarti tidak ada instalasi ScreenConnect, Microsoft Defender adalah satu-satunya program perlindungan yang terpasang, dan tidak ada klien ScreenConnect yang hadir, muatan mencakup penonaktifan pelaporan Microsoft Defender, mematikan integritas memori Windows, dan menjalankan penambang kripto XMRig.
Mengingat luas dan kompleksnya rantai serangan ini, Huntress sangat merekomendasikan agar host yang terdampak diinstal ulang dari media yang terbukti bersih atau sistem operasinya diinstal ulang sepenuhnya.
Menanggapi temuan tersebut, ConnectWise telah mengeluarkan pemberitahuan yang menyatakan bahwa mereka mengidentifikasi masalah yang memengaruhi perilaku transfer file dalam sesi ScreenConnect Remote Access Support dan Access. Masalah ini berdampak pada penerapan Cloud dan On-Premise.
Sampai perbaikan tersedia, pelanggan disarankan mengurangi risiko dengan menonaktifkan kemampuan teknisi untuk mentransfer file melalui pengaturan peran di halaman Administrasi.
#KeamananSiber #ScreenConnect #VBScript #Worm #ConnectWise #Huntress #Malware #Backdoor #CryptoMiner #RMM
