Phishingová kampaň VENOMOUS#HELPER

Sofistikovaná phishingová kampaň s názvom VENOMOUS#HELPER je aktívna minimálne od apríla 2025 a zameriava sa na viacero útočných vektorov prostredníctvom zneužívania legitímnych nástrojov na vzdialené monitorovanie a správu (RMM). Zasiahnutých bolo viac ako 80 organizácií, prevažne v Spojených štátoch. Aktivita sa prekrýva s predtým zdokumentovanými klastrami známymi ako STAC6405. Hoci priradenie zostáva neisté, operačné vzorce silne zodpovedajú finančne motivovaným sprostredkovateľom počiatočného prístupu (IAB) alebo skupinám predchodcov ransomvéru, ktoré sa snažia vybudovať si oporu pre neskoršie zneužitie.

Život z dôveryhodných nástrojov: Zneužívanie legitímneho softvéru RMM

Namiesto nasadenia otvorene škodlivého softvéru sa útočníci spoliehajú na prispôsobené verzie legitímnych nástrojov, ako sú SimpleHelp a ConnectWise ScreenConnect. Keďže tieto aplikácie sa bežne používajú v podnikových prostrediach, ich prítomnosť často obchádza tradičné bezpečnostné kontroly a nevzbudí podozrenie.

Súčasné nasadenie oboch nástrojov je zámerná taktika. Vytvorením duálnych kanálov vzdialeného prístupu útočníci zabezpečujú operačnú odolnosť. Ak je jedno pripojenie zistené a neutralizované, druhý kanál zostáva aktívny, čo umožňuje pokračujúci neoprávnený prístup bez prerušenia.

Vstupný bod pre phishing: Sociálne inžinierstvo s dôveryhodným prestrojením

Útočný reťazec začína starostlivo vytvoreným phishingovým e-mailom, ktorý sa vydáva za Úrad sociálneho zabezpečenia USA (SSA). Správa vyzýva príjemcov, aby overili svoju e-mailovú adresu a stiahli si údajné vyhlásenie SSA prostredníctvom vloženého odkazu.

Je pozoruhodné, že odkaz smeruje obete na legitímnu, ale napadnutú webovú stránku mexickej firmy, čo demonštruje úmyselnú snahu obísť spamové filtre a obranu založenú na reputácii. Odtiaľ sú obete presmerované na druhú doménu kontrolovanú útočníkom, ktorá hostí škodlivé dáta maskované ako legitímny dokument.

Doručenie a perzistencia užitočného zaťaženia: Inžinierstvo dlhodobého prístupu

Po stiahnutí sa dátový súbor, zabalený ako spustiteľný súbor pre systém Windows, spustí inštalácia nástroja SimpleHelp RMM. Útočníci pravdepodobne napadli účet cPanel na hostiteľskom serveri, aby mohli umiestniť škodlivý súbor.

Po spustení si malvér vytvorí perzistenciu a odolnosť prostredníctvom niekoľkých mechanizmov:

• Inštalácia ako služba systému Windows s možnosťami pretrvávania v núdzovom režime
• Nasadenie samoopravného watchdogu, ktorý automaticky reštartuje službu, ak je ukončená
• Pravidelné vyčíslovanie nainštalovaných bezpečnostných produktov prostredníctvom menného priestoru WMI root\SecurityCenter2 každých 67 sekúnd

• Nepretržité monitorovanie aktivity používateľov v 23-sekundových intervaloch

Tieto techniky zabezpečujú, že škodlivá prítomnosť zostáva aktívna, adaptívna a ťažko odstrániteľná.

Zvyšovanie privilégií a kompletná kontrola nad systémom

Na dosiahnutie plnej interaktívnej kontroly nad napadnutým systémom klient SimpleHelp zvyšuje privilégiá získaním SeDebugPrivilege prostredníctvom AdjustTokenPrivileges. Okrem toho sa na získanie prístupu na úrovni SYSTÉMU využíva legitímna súčasť softvéru s názvom „elev_win.exe“.

Táto zvýšená úroveň privilégií umožňuje útočníkom:

• Monitorovanie a zaznamenávanie aktivity na obrazovke
• Vkladanie stlačení klávesov v reálnom čase
• Prístup k citlivým zdrojom v kontexte používateľa

Takéto možnosti efektívne poskytujú úplnú kontrolu nad prostredím obete bez spustenia konvenčných bezpečnostných upozornení.

Stratégia redundantného prístupu: ScreenConnect ako záložný kanál

Po vytvorení primárneho prístupového kanála útočníci nasadia ConnectWise ScreenConnect ako sekundárny mechanizmus vzdialeného prístupu. To zaisťuje trvalosť aj v prípade, že je pôvodné pripojenie SimpleHelp identifikované a zablokované.

Použitie viacerých legitímnych nástrojov zdôrazňuje viacvrstvovú stratégiu prístupu navrhnutú pre odolnosť a utajenie, čo komplikuje úsilie o detekciu a reakciu na incidenty.

Prevádzkový dopad: Tichá kontrola pod radarom

Nasadená verzia SimpleHelp (5.0.1) poskytuje robustnú sadu funkcií vzdialenej správy. Po integrácii do prostredia získajú útočníci možnosť voľne a diskrétne fungovať. Napadnutá organizácia je vystavená neustálemu zneužívaniu, pretože útočníci sa môžu do systému znova vstúpiť podľa vlastného uváženia.

Prostredie sa v podstate stáva kontrolovaným aktívom, kde môžu útočníci ticho vykonávať príkazy, prenášať súbory oboma smermi a pohybovať sa laterálne po sieti. Keďže sa zdá, že všetka aktivita pochádza z legitímne podpísaného softvéru vyrobeného renomovaným britským dodávateľom, tradičné antivírusové systémy a obrana založená na podpisoch často nedokážu odhaliť narušenie.

Záver: Plán pre moderné vniknutia

VENOMOUS#HELPER je príkladom rastúceho trendu zneužívania legitímnych administratívnych nástrojov na škodlivé účely. Kombináciou sociálneho inžinierstva, zneužívania dôveryhodného softvéru a redundantných mechanizmov prístupu dosahuje kampaň vytrvalosť, utajenie a operačnú flexibilitu. Tento prístup zdôrazňuje naliehavú potrebu monitorovania správania, princípov nulovej dôvery a zvýšenej kontroly používania legitímnych nástrojov v podnikových prostrediach.