Kibervédelmi kutatók részletesen bemutattak egy aktív, több hullámban zajló kampányt, amely social engineering trükkökkel próbálja rávenni az áldozatokat, hogy Adobe- és Zoom-szoftverfrissítéseket, üzleti dokumentumok ellenőrzését szolgáló fájlokat vagy rendszerkarbantartó segédprogramokat futtassanak. A cél, hogy észrevétlenül Remote Monitoring and Management (RMM) programokat, például a ConnectWise ScreenConnectet telepítsék.

A Securonix Threat Research a kampányt SMOKE#SCREEN kódnéven említi.

„A kampány egy VBScript dropperekből, batch fájl betöltőkből, lefordított .NET futtatható állományokból és egy HTML adathalász oldalból álló eszközkészletre támaszkodik. Mindez végül egy élő, WsgiDAV-alapú staging szerverre mutat a 207.174.0[.]143:8080 címen” – írták Shikha Sangwan, Akshay Gaikwad és Aaron Beardslee a The Hacker News számára megosztott jelentésben.

A sikeres támadások végén egy ScreenConnect ügynök kerül a gépre, amely három, támadók által vezérelt relay szerver egyikéhez kapcsolódik. Így a támadók tartós távoli hozzáférést szereznek a kompromittált rendszerekhez. A tevékenységet eddig nem kötötték ismert fenyegető szereplőhöz vagy csoporthoz.

A mostani eredmények tovább bővítik a legitim RMM eszközök fenyegető szereplők általi visszaélésszerű használatáról szóló esetek sorát. Ezekkel megkerülik a biztonsági kontrollokat, és kihasználják, hogy az ilyen eszközök elterjedtek a vállalati környezetekben, így könnyen beleolvadnak az engedélyezett IT-eszköztárba, anélkül hogy külön, kifejezetten távoli hozzáférésre írt trójait kellene telepíteniük.

A Securonix szerint a vizsgálat egy élő WsgiDAV szerver felfedezése után indult, amelynek két szerepe volt: rosszindulatú payloadok tárolása, illetve a már fertőzött gépek feletti command-and-control (C2) kapcsolat fenntartása egy ScreenConnect relayen keresztül a 8041-es porton.

A MSI és EXE payloadokba ágyazott ScreenConnect relay konfigurációs stringek elemzése három különálló C2 klasztert tárt fel. Ezeket szoftverfrissítéseket, dokumentum-ellenőrzést és dokumentum-megtekintést színlelő álprogramokhoz kapcsolták.

A kezdeti hozzáférési vektort célzott adathalász e-maileknek tartják. Az üzenetek egy obfuszkált Visual Basic Scriptet (VBScript) tartalmaznak, amely először különféle környezeti és elemzés-ellenes ellenőrzéseket futtat, hogy biztosítsa a „biztonságos” végrehajtást. Felsorolja a futó folyamatokat is, és megszakítja a futását, ha az alábbi futtatható állományok bármelyike aktív:

• Wireshark (wireshark.exe)
• Process Monitor (procmon.exe)
• Oracle VM VirtualBox (vboxservice.exe)
• Broadcom VMware Tools (vmtoolsd.exe)
• Citrix XenServer (xenservice.exe)
• Fiddler Classic (fiddler.exe)

Ha a környezeti ellenőrzések sikeresek, a script egy PowerShell parancsot fejt vissza, amely letölt egy C# payloadot a „207.189.11[.]170” címről, majd végrehajtja. Más esetekben üzleti témájú csali e-mailekkel próbálják rávenni a címzetteket egy VBScript futtatására, amely végül a ScreenConnect telepítéséhez vezet.

A tevékenységhez kapcsolódó harmadik mintát tömörített archívumként terjesztik. Ebből egy batch script indul, amely letiltja a Windows Antimalware Scan Interface-t (AMSI), felhasználói fiókok felügyelete (UAC) ablakon keresztül jogosultságot emel, Registry-módosítással kikapcsolja a SmartScreen védelmet, majd eltávolítja a letöltött MSI fájlról a Zone.Identifier alternatív adatfolyamot (ADS), mielőtt lefuttatná.

A Securonix szerint a támadó a terjesztési stratégiát is folyamatosan váltogatja, több megbízható tárhelyszolgáltatást használva. Egy korai adathalász oldal („zoom-update.html”) a payloadot egy megosztott Dropbox linken keresztül adja át, így megkerüli a domain reputációs szűrőket, mivel a Dropboxot a legtöbb vállalati környezetben engedélyezett platformként kezelik.

„Egy lefordított .NET loader („MemoryLoader.cs”) egy Cloudflare Quick Tunnelre (subscription-magnetic-recommended-meat.trycloudflare.com) hivatkozik. Ezt a szolgáltatást ideiglenes, helyi szerverek internetre nyitására tervezték, és ritkán figyelik. Maga az előkészítő szerver a cloudflared.exe-t futtatja, ami megerősíti, hogy a támadó közvetlenül a saját infrastruktúráján használja a Cloudflare binárist az ilyen rövid életű tunnellek létrehozására.”

Az adathalász csali típusától függetlenül minden támadási út ugyanoda fut ki: a ScreenConnect kliens telepítéséhez. Ez egy beállított relay szerverhez csatlakozik, és lehetővé teszi a támadónak, hogy távoli asztali kapcsolatot nyisson az áldozat gépével.

„A védők számára különösen figyelemre méltó ebben a kampányban, hogy jól látszik benne a támadó módszereinek fejlődése” – fogalmazott a Securonix. „Az óvatos, XOR-ral titkosított VBScript dropperöktől az agresszív, kilenc lépésből álló Defender-megsemmisítő szekvenciákig, majd legutóbb a lopakodóbb megközelítésig, anti-EDR időzítéssel és önálló titkosított csomagokkal – a kampány úgy hat, mint egy valós idejű fegyverkezési verseny támadó és védő között.”

A fenyegetés kivédésére azt javasolják a szervezeteknek, hogy korlátozzák a nem megbízható MSI fájlok futtatását, figyeljék, ha folyamatok a biztonsági termékek módosításával próbálkoznak, vizsgálják felül a jogos, üzemszerű RMM-eszközhasználatot, ellenőrizzék a gyanús PowerShell- és „cmd.exe” folyamatokat, és szigorú UAC beállításokat alkalmazzanak, hogy a normál felhasználók ne kerülhessék meg az adminisztrátori feladatokhoz szükséges UAC-ablakokat.

Hamis Xeno Roblox csalások Java alapú adatlopó kártevőt terjesztenek

A mostani nyilvánosságra hozatal idején a Bitdefender figyelmeztetett egy másik kampányra is. Ebben hamis Xeno Executor telepítőket reklámoznak játékos fórumokon és Discord közösségekben, és ezeket használják egy többlépcsős Java fertőzési lánc elindítására. A folyamat végén egy olyan adatlopó kártevő kerül a rendszerre, amely képes hitelesítő adatok ellopására, böngészősütik, Discord-, Roblox- és Minecraft-fiókok, kriptotárca-adatok és fizetési információk megszerzésére.

A Powercat névre keresztelt adatlopó kártevő képes leütött billentyűket rögzíteni, hozzáfér a webkamerához, élőben közvetíti az áldozat asztalát, fájlokat módosít, PowerShell parancsokat futtat, és interaktív hozzáférést ad a támadóknak a fertőzött számítógéphez.

„A végső payload egyesíti az adatlopást, a megfigyelést, a tartós jelenlétet, a távoli hozzáférést, a fájlkezelést és a parancsvégrehajtást” – írták a Bitdefender kutatói, Janos Gergo Szeles és Silviu Stahie.

A kampány feltételezhetően 2026 eleje óta zajlik, a március második felében pedig jelentősen felerősödött. A kampány egyes elemeit a ThreatLocker már 2026 márciusának végén dokumentálta, kiemelve, hogy a fenyegetés mögött álló szereplő hamis PC-játék csalásokat használ a Powercat terjesztésére.

A csalások archívumok formájában érkeznek, amelyek egy valódi Xeno telepítőt utánoznak, hihető fájlnevekkel. Az áldozatokat arra utasítják, hogy futtassák a „xeno.exe” fájlt, ami a csalás elindítása helyett a kártevő első szakaszát indítja el.

A payload ellenőrzi, hogy van-e Java Runtime Environment a rendszeren, és ha nincs, kicsomagol egyet. Ezután beolvassa a helyi „XenoIcon.jpg” fájlt, amely a C2 szerverrel („solthere[.]net”) való kommunikációhoz szükséges kulcsokat tartalmazza, és ezekkel érvényesíti a futását. Ezt követően elindít egy „decompiler.exe” néven álcázott, obfuszkált JAR fájlt, amely környezeti ellenőrzéseket végez, regisztrálja az áldozatot, majd letölti a végső kártevő payloadot.

A harmadik szakasz egy Java-alapú adatlopó és megfigyelő kártevő, amely érzékeny adatokat gyűjt, képernyőképeket és webkameraképeket készít, élőben közvetíti az áldozat asztalát, és figyeli a billentyűzet- és egértevékenységet. Emellett fájlokat tud letölteni és feltölteni, PowerShellen keresztül parancsokat futtat, valamint interaktív shellt nyit, ami teljes, közvetlen irányítást ad a támadónak a gép felett.

„A személyes adatok ellopása azzal kezdődik, hogy a kártevő felméri, milyen, a támadók számára érdekes szoftverek vannak telepítve az áldozat rendszerére” – közölte a Bitdefender. „Így az operátorok a környezethez igazíthatják a stratégiájukat, és rangsorolhatják, mely adatokat lopják el először.”

A célzott alkalmazások között szerepelnek:

• Webböngészők (Brave Browser, Chrome, Edge, Opera, Opera GX és Vivaldi)
• Kriptotárcák (Atomic, Cake Wallet, Exodus, Monero Wallet, SafePal és Tron Wallet)
• Szoftverfejlesztő eszközök (Git, JetBrains eszközök, Microsoft Visual Studio és Python IDLE)
• Játékindítók (Battle.net, Epic Games Launcher, Riot Client, Rockstar Games Launcher és Steam)
• VPN kliensek (ExpressVPN, Mullvad VPN, NordVPN és Surfshark)
• Üzenetküldők (Discord, Snapchat, Telegram és WhatsApp)
• Roblox- és Minecraft-telepítések (Feather, Lunar, Meteor, Modrinth, Prism és a hivatalos Minecraft launcher)

Az Exodus kriptotárcák célba vételéhez az adatlopó ellenőrzi, hogy a rendszerre telepítették-e az Exodus 26.1.5-ös verzióját, és ha igen, kicsomagolja az „app.asar” archívumot, majd JavaScript kódot fecskendez bele, hogy érvényes tokeneket gyűjtsön, és azokat a C2 szerverre küldje.

„A játékokhoz kapcsolódó csalik továbbra is hatékonyak, mert kihasználják a felhasználók vágyát arra, hogy előnyre tegyenek szert, extra funkciókhoz férjenek hozzá, vagy elkerüljék az anti-cheat rendszerek észlelését” – közölte a Bitdefender.

„A célba juttatott kártevő jóval többre képes egy átlagos jelszólopó programnál. A távoli hozzáférési és parancsvégrehajtási lehetőségei miatt a kompromittálás az első adatlopáson túl is folytatódhat, ami adatmegsemmisítéshez vezethet, vagy lehetővé teheti az operátoroknak, hogy az áldozat gépét más kibercsaló tevékenységekhez használják fel.”