Un gruppo di cybercriminali ha abusato della piattaforma legittima Faronics Deploy per ottenere il controllo remoto di oltre 450 computer aziendali, installando il software ScreenConnect e aggirando le difese di sicurezza tramite email di phishing camuffate da documenti aziendali.
Un nuovo schema di phishing ha visto attori malevoli sfruttare la piattaforma cloud Faronics Deploy, normalmente utilizzata per la gestione remota degli endpoint aziendali, per ottenere accesso amministrativo ai computer delle vittime e installare il software di supporto remoto ScreenConnect. L'attività sospetta è stata rilevata tra il 21 luglio e il 20 agosto, con oltre 457 endpoint colpiti tramite email che simulavano fatture, documenti fiscali o altri file aziendali.
Come funziona l'attacco tramite Faronics Deploy
Secondo i ricercatori di Huntress, le email di phishing contengono link che rimandano a siti web in grado di profilare i visitatori e guidarli attraverso un percorso di download malevolo. Se il sito rileva un ambiente di analisi, attiva una routine di depistaggio mostrando messaggi di errore. In caso contrario, la vittima viene indotta a scaricare e avviare un installer Faronics Deploy legittimo, firmato digitalmente ma camuffato da documento Adobe o aggiornamento di plugin. Una volta eseguito, il computer viene registrato in una distribuzione Faronics controllata dagli attaccanti, che possono così eseguire script PowerShell senza ulteriori interazioni dell'utente.
Installazione di ScreenConnect e persistenza dell'accesso
Gli script remoti scaricano ulteriori strumenti dai server degli attaccanti o da repository esterni come GitHub, portando infine all'installazione di ScreenConnect. Questo software fornisce agli attaccanti un canale di accesso remoto aggiuntivo, indipendente da Faronics, utile sia per il controllo interattivo sia come ridondanza nel caso in cui la compromissione di Faronics venga scoperta e rimossa. Le modalità di consegna variano: alcuni script utilizzano curl o mshta per scaricare i payload, altri sfruttano msiexec per installare i componenti malevoli.
Risposta di Faronics e raccomandazioni per la sicurezza
Huntress ha informato Faronics il 5 agosto; l'azienda ha confermato l'attività malevola e ha implementato nuove misure anti-abuso, oltre a notificare le organizzazioni colpite. Dal 21 agosto, i ricercatori hanno osservato un netto calo degli attacchi, segno che le contromisure hanno avuto effetto. Gli amministratori sono invitati a controllare la presenza del file ScriptRunner.log nella cartella "C:\ProgramData\Faronics\Logs\" per individuare script sospetti e a monitorare installazioni di ScreenConnect non autorizzate. Un ulteriore indicatore di compromissione è il parametro ck nelle richieste di configurazione Faronics, utile per identificare endpoint o account compromessi.
Contesto e rischi per le aziende italiane
Questo attacco dimostra come strumenti legittimi possano essere sfruttati per aggirare le difese aziendali, sottolineando l'importanza di una vigilanza costante anche su software di uso comune. Episodi simili di abuso di piattaforme e servizi cloud sono sempre più frequenti: basti pensare ai recenti disservizi che hanno colpito piattaforme critiche come GitHub, con impatti globali sulla produttività e la sicurezza. Le aziende italiane devono rafforzare i controlli sugli accessi remoti e sensibilizzare il personale sui rischi legati alle email di phishing, anche quando coinvolgono software apparentemente affidabili.
