Campagne SEO frauduleuse exploite ScreenConnect pour déployer AsyncRAT sur les entreprises
CAMPAGNE SEO FRAUDULEUSE EXPLOITE SCREENCONNECT POUR DÉPLOYER ASYNCRAT SUR LES ENTREPRISES
Des acteurs malveillants inconnus utilisent l'outil d'accès distant ScreenConnect pour déployer le malware AsyncRAT dans le cadre d'une campagne massive et multilingue. Selon Kaspersky, des sites web usurpant l'identité de logiciels populaires comme OBS Studio ou Bandicam servent à distribuer des archives d'installation piégées. Cette opération repose sur l'empoisonnement SEO pour attirer les victimes vers ces faux sites.
IMPACTS POUR LES ORGANISATIONS
- ▸Prise de contrôle à distance des postes de travail via ScreenConnect
- ▸Exfiltration potentielle de données sensibles par AsyncRAT
- ▸Exposition des systèmes d'information via des logiciels en apparence légitimes
- ▸Risque élevé pour les collaborateurs téléchargeant des outils depuis Internet
Analyse
Des chercheurs de Kaspersky ont mis en évidence une campagne d'envergure exploitant l'empoisonnement SEO pour rediriger les utilisateurs vers des sites frauduleux imitant des logiciels populaires. Les archives malveillantes distribuées se font passer pour des applications connues telles qu'OBS Studio, DNS Jumper, DS4Windows ou Bandicam.
Une fois exécutées, ces fausses installations déploient ScreenConnect, un outil d'accès distant légitime, détourné ici pour introduire AsyncRAT sur les machines compromises. Ce trojan permet aux attaquants d'établir un canal de contrôle persistant, facilitant la surveillance, l'exfiltration de données ou l'installation de charges utiles supplémentaires.
La nature multidomaine et multilingue de la campagne suggère une infrastructure organisée ciblant un large spectre d'utilisateurs à l'échelle internationale. Les équipes de sécurité sont invitées à renforcer les contrôles sur les téléchargements non approuvés et à surveiller les connexions sortantes vers des outils RMM non référencés.
Source : The Hacker News
Source
Synthèse SecuriTrust de l'article publié par The Hacker News : SEO-Poisoned Software Sites Abuse ScreenConnect to Deploy AsyncRAT