Des chercheurs en cybersécurité ont mis au jour une campagne active et structurée en plusieurs étapes qui s’appuie sur des leurres d’ingénierie sociale. Le fil conducteur : de prétendues mises à jour de logiciels connus, associées à des pages factices, des documents et des routines de “maintenance” destinées à convaincre les victimes d’exécuter des fichiers malveillants.
Le point d’aboutissement de cette opération est particulièrement préoccupant pour les équipes de défense : l’installation de ScreenConnect (un outil de type RMM), afin de fournir un accès à distance persistant. L’ensemble a été codé SMOKE#SCREEN ScreenConnect par Securonix Threat Research.
Une campagne orientée ingénierie sociale, au cœur des environnements d’entreprise
Selon les informations publiées, la campagne cible les utilisateurs via des messages et contenus conçus pour paraître “légitimes” : vérifications de documents professionnels, utilitaires de maintenance et, surtout, fausses mises à jour thématiques autour d’éditeurs très répandus comme Adobe et Zoom.
L’objectif n’est pas seulement d’obtenir une exécution ponctuelle. En exploitant l’abondance des outils RMM dans les entreprises, les attaquants cherchent à se fondre dans des flux considérés comme “autorisés” par l’organisation. Résultat : une compromission qui peut rester discrète, tout en offrant des capacités de prise de contrôle à distance.
Les étapes techniques : de la dépose de VBScript à la charge ScreenConnect
La chaîne observée combine plusieurs briques : des déposeurs en VBScript, des chargeurs de scripts de type batch, des exécutables compilés en .NET et une page de phishing en HTML. Ces composants pointent finalement vers un serveur de préparation de charges, hébergé via un service de type WsgiDAV (207.174.0[.]143:8080 selon le rapport).
Une fois l’attaque menée à son terme, l’installation d’un agent ScreenConnect s’enclenche. L’agent “beacon” ensuite vers l’un des serveurs relais contrôlés par les attaquants, donnant ainsi un accès distant durable à la machine compromise.
WsgiDAV et serveurs relais : des points de contrôle pour le C2
Les investigations de Securonix ont démarré après la découverte d’un serveur WsgiDAV en fonctionnement. D’après les éléments fournis, ce serveur sert à la fois :
- à préparer et livrer les charges malveillantes,
- à maintenir la communication (C2) avec des machines déjà infectées via un relais ScreenConnect fonctionnant sur le port 8041.
Le rapport indique également que des chaînes de configuration intégrées dans les charges (MSI/EXE) révèlent trois clusters distincts. Chaque cluster serait associé à un type de leurre : mises à jour logicielles, revue de documents, ou binaire “leurre” de visionnage de document.
Leleurres “Adobe/Zoom” et contournement : vérifications du contexte avant exécution
En termes de vecteur d’accès initial, les chercheurs estiment qu’il s’agit d’une attaque par spear-phishing. Les e-mails servent de canal à un déposeur VBScript, volontairement obfusqué.
Un élément important : avant d’exécuter la suite, le script réalise une série de vérifications de l’environnement et des contrôles visant à réduire les chances d’exécution dans des conditions d’analyse. Il énumère notamment les processus en cours et stoppe le déroulement si certains programmes sont détectés, par exemple :
- Wireshark (wireshark.exe)
- Process Monitor (procmon.exe)
- Oracle VM VirtualBox (vboxservice.exe)
- VMware Tools (vmtoolsd.exe)
- Citrix XenServer (xenservice.exe)
- Fiddler Classic (fiddler.exe)
Si l’environnement semble “compatible”, la chaîne poursuit. Le VBScript déchiffre ensuite une commande PowerShell, qui récupère une charge .NET depuis une adresse IP mentionnée dans l’étude (207.189.11[.]170) avant son exécution. Les chercheurs signalent aussi des cas où l’attaque utilise des leurres orientés activité professionnelle pour amener la victime à exécuter un VBScript menant à l’installation de ScreenConnect.
Another détour observé : archivage, désactivation de protections et contournement AMSI
Un échantillon supplémentaire associé à l’activité arrive sous forme d’archive compressée. À partir de celle-ci, un script batch est exécuté afin de préparer l’exécution de la charge.
Parmi les actions décrites :
- désactivation de AMSI (Windows Antimalware Scan Interface),
- élévation de privilèges via une invite UAC,
- désactivation de protections SmartScreen par modifications du registre,
- suppression du flux Zone.Identifier (ADS) attaché au fichier MSI téléchargé, avant exécution.
Cette combinaison vise à rendre le chargement plus discret, tout en réduisant l’efficacité de certains mécanismes de contrôle côté système.
Rotation des hébergements et chaînes d’accès “autorisées”
Le rapport précise que la stratégie de distribution a varié. Dans un cas, une page de phishing nommée zoom-update.html livre la charge via un lien partagé Dropbox.
Le choix n’est pas anodin : les chercheurs notent que Dropbox est souvent une plateforme allow-list dans de nombreuses entreprises, ce qui peut aider à contourner des filtres de réputation de domaine.
Cloudflare Quick Tunnel : exposition temporaire et infrastructure éphémère
Au-delà du leurre, la campagne s’appuie aussi sur une partie infrastructurelle. Un chargeur .NET mentionné dans l’étude (MemoryLoader.cs) fait référence à un Cloudflare Quick Tunnel dont le format d’URL apparaît dans le rapport. Ce service sert à exposer temporairement un serveur local, rarement surveillé.
Fait marquant : le serveur de staging utiliserait directement le binaire cloudflared.exe. Autrement dit, les opérateurs s’appuient sur l’exécutable Cloudflare pour générer des tunnels éphémères au sein de leur chaîne.
Pourquoi SMOKE#SCREEN ScreenConnect est difficile à bloquer
Dans l’analyse, l’un des constats clés est l’usage de ScreenConnect comme destination finale. Une fois installé, l’agent permet à l’opérateur de démarrer une session à distance, ce qui peut imiter des comportements “normaux” au sein d’un parc informatique d’entreprise.
Autre point mis en avant : la dynamique d’adaptation. Les chercheurs décrivent une évolution des techniques, allant de déposeurs VBScript chiffrés par XOR à des séquences plus “agressives” visant la résistance défensive, puis un retour à une approche plus discrète combinant timing contre l’EDR et paquets chiffrés autonomes.
En pratique, cette campagne illustre une forme de course entre attaquants et défenseurs, où les méthodes changent en continu pour maintenir l’accès.
Recommandations de défense : réduire la surface et détecter les tentatives de tampering
Pour contrer ce type d’opérations, les chercheurs recommandent un ensemble de mesures concrètes, axées sur la prévention, la détection et la validation des usages RMM :
- Limiter l’exécution des fichiers MSI non fiables.
- Surveiller les moments où des processus tentent de modifier des produits de sécurité.
- Auditer l’usage légitime des outils RMM (qui les utilise, quand, et pourquoi).
- Contrôler les processus PowerShell et cmd.exe, notamment lorsqu’ils apparaissent dans des contextes inhabituels.
- Renforcer les paramètres UAC afin d’éviter le contournement d’invites d’élévation par des utilisateurs standards.
Ces actions ne ciblent pas seulement la charge finale. Elles visent surtout la cohérence de l’exécution : s’assurer que ce qui est autorisé correspond bien à des processus attendus.
Une autre alerte séparée : fausses “cheats” pour injecter un stealer Java
En parallèle, Bitdefender a également signalé une campagne distincte exploitant des communautés liées au jeu pour diffuser un malware de vol d’informations. Ici, le thème est celui de fausses cheats pour un jeu populaire (distribuées via forums et canaux Discord), conduisant à une chaîne d’infection Java.
La charge finale est décrite comme un stealer nommé Powercat, capable de voler des identifiants et des données, mais aussi de collecter des cookies de navigateurs, d’accéder à des comptes (Discord, Roblox, Minecraft), et de cibler des données de portefeuilles cryptographiques et d’informations de paiement. La surveillance inclut également capture de frappes clavier et accès webcam, avec la possibilité de contrôler à distance la machine infectée.
Selon Bitdefender, l’activité serait observée depuis le début de 2026, avec une hausse au second semestre de mars. Les chercheurs mentionnent que des éléments avaient déjà été documentés par une autre équipe plus tôt en 2026.
Conclusion : l’accès à distance persistant commence par un clic “banal”
La campagne SMOKE#SCREEN ScreenConnect montre à quel point des leurres crédibles, des hébergements tournants et des techniques d’anti-analyse peuvent converger vers un objectif unique : installer un agent d’accès à distance persistant via ScreenConnect. En ciblant des outils et workflows déjà présents dans l’entreprise, l’attaque cherche à réduire les signaux d’alerte visibles.
Face à ce scénario, la meilleure approche combine contrôle des exécutions risquées, surveillance des comportements inhabituels (PowerShell, modifications de sécurité, tentatives d’élévation) et audit des usages RMM. Ainsi, vous augmentez vos chances de détecter la compromission avant qu’elle ne devienne durable.
Source: https://thehackernews.com/2026/08/fake-adobe-and-zoom-updates-install.html
