O Faronics Deploy está sendo abusado por cibercriminosos como uma porta de entrada para redes corporativas. Em uma campanha recente, analisada pela empresa de segurança Huntress, atacantes utilizaram e-mails de phishing para convencer vítimas a instalar versões legítimas e assinadas da ferramenta, registrando os computadores em uma infraestrutura controlada pelos criminosos. A partir daí, o recurso legítimo de execução remota de scripts passou a ser usado para instalar outros componentes, incluindo o ScreenConnect.
O caso chama atenção porque não depende necessariamente de um malware tradicional. Em vez de explorar uma falha desconhecida ou carregar um executável claramente malicioso, os invasores abusam de ferramentas administrativas confiáveis, aproveitando permissões elevadas e mecanismos normalmente autorizados pelos departamentos de TI.
A Huntress identificou mais de 457 endpoints expostos a iscas relacionadas ao Faronics entre 21 de julho e 20 de agosto. A empresa notificou a Faronics em 5 de agosto e observou uma queda significativa na atividade a partir de 21 de agosto, depois que o fornecedor implementou medidas adicionais contra o abuso.
Como o ataque explora o Faronics Deploy
O ataque começa com uma técnica bastante conhecida: engenharia social por e-mail. As mensagens observadas pela Huntress utilizavam temas corporativos capazes de despertar a atenção do destinatário, como faturas, documentos financeiros, convites, registros fiscais e arquivos associados à Adobe.
Ao clicar no conteúdo enviado pelos criminosos, a vítima era direcionada para uma página preparada para identificar características do dispositivo. O mecanismo coletava informações como User-Agent, sistema operacional, resolução da tela, fuso horário, idioma, capacidade de toque e profundidade de cor.
Esses dados eram enviados para a infraestrutura do atacante, que utilizava as informações para decidir como responder à vítima. O objetivo é dificultar a análise por pesquisadores e sistemas automatizados de segurança.
Imagem: Huntress
A evasão de análise antes da infecção
Um dos aspectos mais interessantes da campanha é o uso de cloaking, técnica que permite apresentar conteúdos diferentes dependendo de quem acessa a página.
Durante a investigação, a Huntress encontrou páginas aparentemente legítimas, incluindo uma que imitava o banco Eastern Bank. Em determinados cenários, ambientes considerados suspeitos recebiam conteúdo inofensivo ou uma página de erro, enquanto vítimas consideradas relevantes avançavam para o fluxo malicioso.
Esse comportamento é importante para administradores porque demonstra que simplesmente acessar uma URL suspeita durante uma investigação pode não reproduzir o ataque original.
Depois da filtragem, a vítima era induzida a executar um arquivo que aparentava estar relacionado a uma atividade legítima. Entre os nomes observados estavam Adobe.exe, AdobeReader.exe, AdobePlugin_Update.exe, Invoice_89940.exe e Microsoft_Excel_Update.exe.
O detalhe crítico é que o executável do Faronics Deploy pode ser legítimo e possuir assinatura digital válida. O problema está na maneira como ele é instalado e utilizado.
Segundo a Huntress, os atacantes instalavam o software com privilégios administrativos e registravam o endpoint em uma implantação do Faronics controlada por eles. A partir desse momento, o agente passava a aceitar comandos de gerenciamento remoto, permitindo que o criminoso aproveitasse funções legítimas da plataforma.
A execução de scripts maliciosos e a entrada do ScreenConnect
Depois de obter controle por meio do Faronics Deploy, os criminosos passaram a utilizar recursos de execução de scripts para buscar componentes adicionais.
A Huntress identificou o uso de ferramentas e mecanismos nativos do Windows, incluindo PowerShell, curl, mshta e msiexec. Alguns scripts buscavam conteúdo hospedado em infraestrutura controlada pelos atacantes, enquanto outros utilizavam repositórios do GitHub para armazenar componentes da cadeia de ataque.
Essa estratégia reduz a necessidade de incluir todo o código malicioso no primeiro executável. O instalador inicial funciona principalmente como um mecanismo para obter acesso ao ambiente, enquanto as etapas seguintes são baixadas posteriormente.
É nesse ponto que aparece o ScreenConnect.
A ferramenta de acesso remoto é instalada como um segundo canal de comunicação com o computador comprometido. Isso cria uma espécie de redundância operacional para o invasor: mesmo que o agente do Faronics seja identificado e removido, o ScreenConnect pode continuar oferecendo acesso remoto.
O comportamento faz parte de uma tendência maior observada pela Huntress, na qual criminosos utilizam um RMM para instalar outro RMM. A técnica é conhecida por aumentar a persistência e dificultar a resposta, já que softwares legítimos podem receber tratamento diferente de executáveis desconhecidos pelos mecanismos de segurança.
Resposta da Faronics e os sinais deixados pelo ataque
A Huntress informou a Faronics sobre a campanha em 5 de agosto. De acordo com a investigação, o fornecedor confirmou a atividade e adotou medidas adicionais para dificultar o uso criminoso de sua plataforma.
A queda acentuada das atividades observada pela Huntress a partir de 21 de agosto indica que essas medidas tiveram impacto sobre a campanha. A Faronics também entrou em contato com organizações potencialmente afetadas para alertá-las sobre possíveis comprometimentos.
Para equipes de segurança, entretanto, o ponto mais importante é que o ataque deixa artefatos forenses úteis.
Como verificar se o Faronics Deploy foi abusado
Administradores que suspeitam de uma instalação não autorizada devem começar pela análise dos arquivos de log do Faronics Deploy.
O principal artefato destacado pela Huntress está localizado em:
C:\ProgramData\Faronics\Logs\ScriptRunner.log
O arquivo pode registrar scripts executados remotamente e, em determinadas situações, preservar a URL utilizada para baixar o script, mesmo quando o conteúdo original do PowerShell já não está disponível no computador.
Durante a investigação, por exemplo, a Huntress encontrou entradas que registravam a obtenção de um script hospedado no GitHub. Esse tipo de evidência pode permitir que o analista identifique a infraestrutura utilizada pelo atacante e procure outros endpoints que tenham acessado o mesmo conteúdo.
A investigação também deve procurar:
- Execuções de PowerShell iniciadas pelo agente do Faronics.
- URLs externas ou endereços do GitHub usados para buscar scripts.
- Execuções de curl, mshta e msiexec associadas ao período da infecção.
- Instalações inesperadas do ScreenConnect ou de outros RMM.
- Scripts executados imediatamente antes ou depois da instalação do software.
- Alterações e serviços criados para manter acesso remoto.
Outro indicador importante está nas requisições de configuração do serviço. A Huntress observou chamadas contendo o parâmetro ck, utilizado como identificador relacionado à implantação ou ambiente do cliente.
Esse valor pode ser particularmente útil para investigação porque permite agrupar endpoints associados à mesma implantação abusada, em vez de analisar cada máquina isoladamente. Para uma equipe responsável por centenas ou milhares de computadores, essa correlação pode acelerar significativamente a identificação do alcance do incidente.
É importante, porém, não interpretar a presença do Faronics Deploy como evidência automática de comprometimento. A plataforma é uma ferramenta legítima de administração de endpoints. O que diferencia uma implantação legítima de uma suspeita é principalmente o contexto, incluindo quem autorizou a instalação, qual conta está associada à implantação, quais scripts foram executados e quais ferramentas apareceram posteriormente.
Por que o abuso de RMM é tão perigoso?
O caso demonstra uma dificuldade crescente para os mecanismos tradicionais de defesa: nem toda atividade maliciosa precisa utilizar software malicioso.
Ferramentas como plataformas de gerenciamento, suporte remoto e implantação de software possuem exatamente os privilégios que um atacante deseja obter. Quando são utilizadas de maneira indevida, podem permitir execução de comandos, instalação de programas, transferência de arquivos e controle remoto sem necessariamente produzir os mesmos alertas de um malware convencional.
Esse comportamento se encaixa no conceito de Living off the Land, no qual o invasor aproveita ferramentas legítimas disponíveis no próprio ambiente para executar suas ações.
O abuso de RMM também pode combinar diferentes softwares. A Huntress já documentou campanhas nas quais ferramentas como Action1, GoTo Resolve, PDQ Deploy, Atera, AnyDesk e outras plataformas foram utilizadas para instalar ferramentas adicionais de acesso remoto.
Por isso, bloquear apenas arquivos maliciosos conhecidos não é suficiente.
O que administradores devem fazer agora
Empresas devem manter um inventário atualizado de softwares instalados, especialmente de ferramentas RMM e plataformas capazes de executar comandos remotamente.
Também é recomendável estabelecer uma política clara sobre quais ferramentas de administração são autorizadas, quais contas podem utilizá-las e quais endpoints podem receber esses agentes.
Em ambientes corporativos, a presença de um ScreenConnect não autorizado deve ser tratada como um indicador relevante de possível comprometimento. O mesmo vale para uma instalação inesperada do Faronics Deploy, principalmente quando acompanhada de scripts PowerShell, downloads externos ou alterações recentes no sistema.
Durante uma investigação, preserve os logs antes de remover os agentes. Isolar o endpoint, identificar a implantação utilizada pelo atacante, coletar evidências, investigar outros computadores associados ao mesmo ambiente e somente depois remover os softwares suspeitos ajuda a evitar a perda de informações importantes.
Se houver indícios de exposição de credenciais ou acesso interativo por parte do invasor, a organização também deve avaliar a necessidade de redefinir credenciais e investigar atividades realizadas após a instalação do primeiro agente.
O caso do Faronics Deploy e ScreenConnect reforça uma regra fundamental da segurança moderna: ferramentas confiáveis também precisam ser monitoradas. A confiança baseada apenas em assinatura digital, reputação do software ou presença em uma lista de aplicações permitidas pode criar pontos cegos explorados por criminosos.
Para administradores de sistemas e profissionais de segurança, a melhor defesa é combinar inventário de aplicações, monitoramento de processos, análise de logs, controle de RMM, princípio do menor privilégio e investigação contínua dos endpoints. Em um cenário no qual atacantes conseguem transformar ferramentas legítimas em instrumentos de invasão, saber o que está instalado na rede é apenas o primeiro passo. Saber quem instalou, por que instalou e o que está executando é ainda mais importante.
