Malware không cần tự tìm máy mới: Hacker biến ScreenConnect thành một “con sâu” tự phát tán qua phiên remote

Một con sâu mạng truyền thống phải tìm máy tiếp theo để lây: quét địa chỉ, dò dịch vụ đang mở hoặc khai thác một lỗ hổng có thể truy cập từ xa. Chuỗi tấn công mới mà Huntress theo dõi chọn một đường ngắn hơn. Kẻ tấn công chỉnh sửa client của ConnectWise ScreenConnect — phần mềm hỗ trợ và quản trị từ xa hợp pháp — để khi có một máy mới kết nối, chính phiên remote đó trở thành đường chuyển và chạy mã độc.

Huntress gọi hành vi này là worm-like, tức giống một con sâu hơn là khẳng định đây là worm theo nghĩa cổ điển. Trong ba sự cố xảy ra tại các tổ chức không liên quan vào tháng 8/2026, các client ScreenConnect khả nghi liên tục gọi Windows Script Host để chạy bốn file VBScript có tên 1.vbs đến 4.vbs. Phân tích sau đó cho thấy client đã bị sửa có khả năng tự gửi cùng chuỗi script sang những hệ thống ScreenConnect vừa kết nối với nó.

Ba cửa vào khác nhau, cùng một cơ chế lan truyền

Điều khiến Huntress chú ý là ba vụ xâm nhập không bắt đầu theo cùng một cách. Trong một trường hợp ngày 20/8, nạn nhân bị lừa mở Quick Assist, công cụ hỗ trợ từ xa tích hợp sẵn trong Windows, trong một trò lừa hỗ trợ kỹ thuật. Kẻ tấn công sau đó cài một client ScreenConnect trái phép.

Một sự cố khác cùng ngày dường như bắt đầu từ phishing và dẫn tới việc người dùng chạy một gói cài đặt ScreenConnect MSI tải xuống bằng Microsoft Edge. Đến ngày 24/8, một nạn nhân khác tìm biểu mẫu hoàn tiền Geek Squad và bị dẫn tới một client ScreenConnect rogue. Dù cửa vào khác nhau, cả ba môi trường đều xuất hiện cùng mẫu thực thi bốn VBScript qua wscript.exe.

Điều này quan trọng vì nó cho thấy phần tự lan truyền không phụ thuộc vào một email phishing, một trang giả hay một kỹ thuật social engineering duy nhất. Các bước đó chỉ cần đưa client đã bị chỉnh sửa vào máy đầu tiên. Sau đó, ScreenConnect cung cấp sẵn thứ malware cần nhất: một kênh kết nối tới hệ thống khác.

Bốn script không chỉ tải payload, chúng quyết định máy sẽ nhận gì

Theo phân tích kỹ thuật của Huntress, script đầu tiên lập hồ sơ máy bị nhiễm. Nó kiểm tra liệu ScreenConnect đã có trên hệ thống hay chưa, xem những sản phẩm bảo mật nào đang chạy và đánh giá một số đặc điểm phần cứng. Kết quả được mã hóa thành một trạng thái nhỏ để các giai đoạn sau lựa chọn payload phù hợp.

Script thứ hai lấy một bản đồ cấu hình từ hạ tầng bên ngoài. Script thứ ba dùng trạng thái của máy để chọn nhánh tải xuống. Script cuối giải mã gói nhận được và chuyển việc thực thi sang PowerShell. Huntress đã phục hồi các nhánh có chức năng khác nhau, gồm thiết lập truy cập từ xa lâu dài, tăng quyền và duy trì persistence, tạo tunnel, làm suy yếu một số cơ chế phòng vệ và trong một nhánh còn triển khai công cụ đào tiền mã hóa XMRig.

Chi tiết đáng chú ý nhất không nằm ở từng payload. Ở một số nhánh, bốn file VBS được sao chép vào một thư mục cục bộ để client ScreenConnect đã bị sửa có thể sử dụng lại chúng. Từ đây, máy nhiễm không còn chỉ là điểm cuối bị điều khiển; nó trở thành một điểm phân phối mã cho phiên ScreenConnect tiếp theo.

Không cần quét mạng: máy mới tự “đi tới” malware

Huntress cho biết client đã sửa theo dõi các phiên ScreenConnect Host mới. Khi phát hiện một kết nối, nó đăng ký bốn script với cơ chế truyền file của ScreenConnect, đặt hành động thành chạy file và đưa lệnh vào phiên vừa xuất hiện. Hệ thống phía bên kia vì thế có thể nhận và thực thi lại toàn bộ chuỗi bốn giai đoạn.

Cơ chế này đảo ngược mô hình lây lan quen thuộc. Malware không phải đi tìm nạn nhân tiếp theo; một kỹ thuật viên hoặc hệ thống remote hợp pháp có thể vô tình tạo ra kết nối mà malware đang chờ. Client còn ghi nhớ ID của phiên để không tấn công lặp lại trong cùng một kết nối, rồi bỏ ID đó khi phiên đóng. Nếu hệ thống kết nối lại sau này, chuỗi lây có thể được kích hoạt một lần nữa.

Đó cũng là lý do từ “worm” cần được dùng thận trọng. Huntress không mô tả một mã độc tự quét subnet hay tự khai thác hàng loạt một dịch vụ mạng. Khả năng nhân bản phụ thuộc vào kiến trúc và luồng kết nối của ScreenConnect. Nhưng về tác động vận hành, nó có một thuộc tính vốn khiến worm nguy hiểm: một máy đã nhiễm có thể tự đẩy mã sang máy tiếp theo mà kẻ tấn công không cần điều khiển thủ công từng lần.

Phần mềm hợp pháp trở thành lợi thế của kẻ tấn công

ScreenConnect không phải malware. Đây là công cụ remote access được các bộ phận IT và nhà cung cấp dịch vụ quản lý dùng để hỗ trợ hệ thống từ xa. Chính vị trí tin cậy đó làm RMM hấp dẫn với kẻ tấn công: chức năng điều khiển từ xa, truyền file và thực thi tác vụ vốn là nhu cầu bình thường của quản trị viên.

Trong trường hợp này, Huntress nói tới các client rogue và client đã bị chỉnh sửa, chứ không phải kết luận rằng mọi bản cài ScreenConnect đều tự biến thành malware. Sự phân biệt này quan trọng, đặc biệt với các tổ chức vẫn đang dùng ScreenConnect hợp pháp để vận hành hạ tầng.

Sau khi Huntress công bố phát hiện, ConnectWise ngày 3/9 đưa ra một advisory về vấn đề liên quan tới hành vi truyền file trong các phiên ScreenConnect Remote Access Support và Access, ảnh hưởng cả triển khai cloud lẫn on-premise. Công ty khuyến nghị tạm thời tắt quyền TransferFiles, hoặc TransferFilesInSession trên phiên bản cũ, trong lúc chờ bản sửa chính thức.

Tính đến ngày 8/9, ConnectWise vẫn ghi trạng thái bản sửa đang được phát triển và cho biết CVE sẽ được cấp sau khi việc triển khai trên cloud hoàn tất. Cần lưu ý rằng ConnectWise chưa công khai xác nhận vấn đề truyền file trong advisory chính là nguyên nhân kỹ thuật của chuỗi worm-like mà Huntress mô tả. Hai thông tin có liên quan về thời điểm và bề mặt chức năng, nhưng không nên gộp chúng thành một lỗ hổng đã được xác định khi nhà cung cấp chưa làm vậy.

Điều quản trị viên nên tìm không chỉ là một file malware

Với kiểu tấn công này, chỉ săn một hash hay một tên file cố định dễ bỏ sót vấn đề. Huntress khuyến nghị đặc biệt chú ý các bản cài ScreenConnect không được phê duyệt và các log có hành vi chạy file từ phiên Guest. Trong các sự cố họ điều tra, mẫu đáng ngờ còn gồm ScreenConnect sinh tiến trình wscript.exe, các script VBS nối tiếp nhau và cơ chế persistence trong tài khoản người dùng.

Đối với máy đã cho thấy dấu hiệu bị xâm nhập trong chuỗi này, Huntress đưa ra khuyến nghị mạnh hơn việc chỉ xóa client rogue: cài lại hệ điều hành từ nguồn sạch hoặc reimage thiết bị. Lý do là payload có nhiều nhánh, có khả năng thay đổi cơ chế phòng vệ, thêm truy cập từ xa và thiết lập persistence; việc chứng minh một máy đã được làm sạch hoàn toàn vì thế khó hơn việc xóa một chương trình đơn lẻ.

Điểm mới của chiến dịch không phải là hacker lần đầu lạm dụng phần mềm remote. RMM đã nhiều năm là công cụ được tội phạm mạng ưa chuộng vì trộn lẫn với hoạt động IT bình thường. Cái khác ở đây là kẻ tấn công đã đưa cơ chế phát tán vào chính client remote bị sửa. Một kết nối vốn được tạo để kỹ thuật viên sang sửa máy khác có thể trở thành cầu nối để malware đi theo — mà không cần tự tìm máy kế tiếp.