Microsoft Security Research waarschuwt voor phishingcampagnes waarin MSP360 misbruikt wordt om een bekende remote access-tool te installeren: ConnectWise ScreenConnect. De aanval begint met misleidende e-mailinhoud en eindigt met een extra, redundante toegangslijn voor verdere acties op gecompromitteerde endpoints.
Wat deze campagne extra zorgwekkend maakt, is dat het slachtoffer niet direct een “verdacht” bestand hoeft te openen. De aanvallers leveren een installer aan die zich voordoet als legitieme software, inclusief een digitale handtekening, en bouwen daarna een keten die gebruikmaakt van Windows-functies voor verhoogde rechten.
Hoe de phishinglink naar MSP360 werkt
De intrusieketen start met phishingmails die het downloaden van een installer voor MSP360 Remote Monitoring and Management (RMM) aanwakkeren. Microsoft beschrijft dat de afzenderinhoud telkens draait om het doen voorkomen dat er een reden is om een bijlage te openen, zoals agendavermeldingen, “meeting invitations”, PDF-achtige lokteksten, of prompts die lijken op software-updates.
Opvallend detail: de campagne gebruikt dezelfde versie van de installer, namelijk MSP360 RMM v2.5.0.67, maar dan onder verschillende misleidende bestandsnamen. Microsoft noemt onder meer namen zoals varianten van:
- VIP_ECARD_INVITATION_rmm_v2.5.0.67…exe
- ZoomSetup_Installation_v2.5.0.67…exe
- PDF Reader & Editor the Adobe Acrobatte_rmm_v2.5.0.67…exe
- RSVP_INVITATION_E_CARD_rmm_v2.5.0.67…exe
- SSA.GOV_STATEMENT_rmm_v2.5.0.67…exe
Na uitvoering verkregen de aanvallers “trusted administrative software” toegang tot remote management op de getroffen apparaten. Daarmee is de basis gelegd voor een volgende stap in de aanval.
Van MSP360 naar ScreenConnect: een dubbele toegangslijn
Volgens Microsoft wordt met de aanvankelijk geladen MSP360-installer een extra component gedownload en geïnstalleerd: de ScreenConnect-client. Door die combinatie krijgen aanvallers een tweede, “fallback” remote-accesskanaal. Dat vergroot de slagingskans van vervolgactiviteiten, ook wanneer één van de tools sneller opvalt of wordt tegengehouden.
Na het verkrijgen van deze initiële foothold gebruikt de aanvaller de toegang om extra tools te leveren en acties uit te voeren zoals informatieverzameling en pogingen tot het verkrijgen van credentials. Microsoft heeft de activiteit niet gekoppeld aan een specifiek, bekend dreigingsgroep.
Multi-stage keten met DLL-dropping, UAC en persistence
Microsoft rapporteerde dat Windows deze activiteit in juli 2026 detecteerde. De aanpak kent meerdere stappen: de installer wordt niet als één simpele payload gepresenteerd, maar als een opgebouwd proces.
Concreet beschrijft Microsoft dat de installer:
- meerdere DLL-bestanden “dropt” zodra hij draait;
- zich opnieuw start via het Windows UAC-elevatiepad (User Account Control), zodat hij in een privileges context kan werken;
- persistentie opbouwt door MSP360 te deployen;
- de RMM-tool gebruikt om PowerShell aan te roepen voor “stealthy” installatie van ScreenConnect;
- .NET runtime’s op het systeem opsomt;
- twee Windows-services registreert: RMM.Agent.exe en RMM.Agent.Launcher.exe;
- autorun-entries via de Windows Registry maakt, zodat MSP360 automatisch start wanneer een gebruiker zich aanmeldt;
- de Windows Firewall aanpast om inbound UDP-verkeer toe te staan naar MSP360 op poort 48678.
Door dit geheel krijgt de aanvaller niet alleen toegang, maar ook het “comfort” van normale IT-workflows. Het kwaadaardige gedrag wordt daardoor beter gemaskeerd in de context van remote administratie.
Payloads uitvoeren via ScreenConnect RunFile
Nadat ScreenConnect actief is, verloopt het vervolg via functionaliteit die in de tool zelf zit. Microsoft geeft aan dat de payloads worden gestart via de RunFile-functionaliteit van ScreenConnect.
Dat is een belangrijk punt vanuit security-perspectief: als je toezicht vooral richt op “klassiek” malware-gedrag, kan de uitvoering alsnog lijken op een legitieme beheeractie. Alleen een combinatie van gedragssignalen (bijv. UAC-elevatie, servicecreatie, firewallwijzigingen en ongebruikelijke remote command chains) maakt de aanval eenduidig.
Extra varianten: MSP360 vervangen door Faronics Deploy Agent
Microsoft beschrijft daarnaast een tweede set aanvallen in juli 2026, waarin MSP360 is vervangen door Faronics Deploy Agent. Het patroon wijkt niet totaal af: ook dan wordt de omgeving gebruikt om toegang te krijgen tot ScreenConnect en daarna vervolgacties uit te voeren.
Deze variatie suggereert dat aanvallers niet afhankelijk zijn van één enkel remote access-ecosysteem. Ze schakelen liever tussen RMM- of deployment-tools om hun ingang te verbeteren en detectie te omzeilen.
Wat je nu kunt doen: detectie en hardening voor RMM
Als je remote management in gebruik hebt, helpen de volgende maatregelen om dit soort ketens sneller te herkennen en te onderbreken. Let op: focus op gedrag en ketenlogica, niet alleen op “bestandsnamen” of enkelvoudige IOCs.
1) Monitor UAC-elevatie en schijnbaar legitieme installers
Besteed extra aandacht aan situaties waarin een installer die als “update” of “meeting invitation” wordt gepresenteerd, UAC-elevatie triggert en daarna services aanmaakt. Combineer endpoint telemetry met e-mail- en downloadtelemetrie.
2) Controleer servicecreatie en autorun-regels
Let op nieuwe Windows services die gerelateerd lijken aan RMM-componenten, en op wijzigingen in autorun via de Registry. Zeker wanneer dit gebeurt kort na een phishinggedreven initiatie.
3) Bewaak firewallwijzigingen
Een wijziging in firewallregels (zoals het toestaan van inbound verkeer naar specifieke poorten) kan een sterke aanwijzing zijn. Leg vast welke poorten en executable-paths “normaal” zijn voor jouw omgeving.
4) Verstevig je remote access proces
Omdat de aanval uiteindelijk uitkomt bij ScreenConnect RunFile, is strakke controle op remote commando’s en uitvoering van bestanden essentieel. Denk aan allowlisting, segmentatie en extra verificatie bij remote acties.
Wil je breder inzicht in hoe RMM en beheeromgevingen misbruikt kunnen worden, dan kan het nuttig zijn om ook te kijken naar eerdere meldingen op deze site, zoals kritieke code-injection in beheerware. Die context helpt bij het plaatsen van “beheerfunctionaliteit” binnen het grotere detectielandschap.
Waarom deze aanval zo effectief is
De kracht van deze campagne zit in camouflage: de aanvallers gebruiken legitieme remote administratie om in hun voordeel te werken. Zo ontstaat een aanval die lijkt op normaal IT-werk—met persistence, firewall-aanpassingen en uitvoering via ingebouwde remote functies.
Daar komt bij dat de eerste stap een installer met digitale handtekening kan zijn, wat de drempel voor slachtoffers verlaagt. Zolang je securityaanpak vooral leunt op traditionele heuristieken, kan een keten als deze relatief lang ongemerkt blijven.
Conclusie
MSP360 misbruikt wordt hier niet als eindstation ingezet, maar als springplank. Vanuit de aanvankelijke RMM-installer bouwt de aanval een multi-stage keten op die UAC-elevatie, servicecreatie, persistence en firewallwijzigingen omvat, waarna ScreenConnect wordt geïnstalleerd als extra remote toegangskanaal.
Door detectie te richten op gedragsketens—en niet enkel op verdachte bestanden—vergroot je de kans om dit type compromittering vroegtijdig te stoppen. Zo voorkom je dat phishing zich eenvoudig doorzet tot langdurige remote controle.
Bron: https://thehackernews.com/2026/09/attackers-abuse-msp360-to-deploy.html
