Grupo de phishing abusa de instalador legítimo do ScreenConnect para obter acesso remoto
Uma campanha de phishing se passando pela marca Mejuri distribui um instalador oficial e assinado do ScreenConnect pré-configurado para conectar a um relay controlado pelo atacante. Como o binário é legítimo e assinado pela ConnectWise/DigiCert, ele passa despercebido por antivírus e apareceu com zero detecções no VirusTotal no momento da campanha. O caso é um exemplo típico de abuso de ferramenta RMM (living-off-the-land) para obter controle remoto total sem precisar de malware customizado ou exploração de vulnerabilidade.
O SANS Internet Storm Center documentou uma campanha em que a vítima recebe um e-mail se passando pela joalheria Mejuri, com assunto do tipo "EFT Wire Transfer", convidando-a a clicar em um link para visualizar um suposto recibo de pagamento. O link entrega o arquivo ScreenConnect.ClientSetup.exe, hospedado a partir do domínio malicioso thelittlecupandsaucer[.]com[.]au, já pré-configurado com um instance ID (v2e3e2) que aponta para um relay controlado pelo atacante (instance-v2e3e2-relay.screenconnect.com:443).
Tecnicamente, o ScreenConnect é uma ferramenta de monitoramento e gerenciamento remoto (RMM) legítima da ConnectWise, amplamente usada por equipes de suporte técnico. O instalador carrega parâmetros de configuração embutidos que, ao serem executados, estabelecem automaticamente uma conexão reversa com o servidor/relay definido pelo atacante, concedendo controle de tela, transferência de arquivos e shell remoto assim que a vítima instala o cliente — sem exploração de nenhuma vulnerabilidade de software. Como o executável mantém a assinatura digital válida da ConnectWise/DigiCert, soluções de allowlisting por assinatura e boa parte dos antivírus não o sinalizam como malicioso.
Para quem atua em resposta a incidentes e forense, o episódio reforça um padrão recorrente: o abuso de ferramentas legítimas (RMM abuse / LOLBAS) é mais difícil de detectar por assinatura do que malware tradicional, exigindo foco em comportamento — instalações inesperadas de agentes RMM fora do inventário de TI, tráfego de saída para domínios e relays do ScreenConnect não corporativos, e correlação entre e-mail de phishing, execução do instalador e conexões de rede subsequentes.
Na prática, a reconstrução da timeline de um caso assim depende de artefatos como logs de execução de processo, chaves de registro e pastas de instalação do cliente ScreenConnect, além de logs de proxy/firewall mostrando a conexão ao relay. Equipes de triagem devem monitorar os IOCs já divulgados (domínio, hash do instalador, instance ID) e endurecer políticas de bloqueio de instaladores RMM não autorizados, já que a campanha mostra que nem é necessário malware sofisticado para obter acesso remoto persistente a um ambiente corporativo.