Recente brancheverslagen hebben een phishingcampagne onthuld die misbruik maakt van legitieme RMM- en remote access-tools om ongeautoriseerde toegang te krijgen tot de systemen van slachtoffers. Splashtop was een van de tools die door aanvallers in deze campagne werd geïnstalleerd, maar het is belangrijk om te verduidelijken dat dit een geval van misbruik door social engineering was, niet een inbreuk of kwetsbaarheid in Splashtop.
In deze aanval misleiden cybercriminelen ontvangers om RMM- en remote access-software te downloaden. Zodra geïnstalleerd, biedt de software de hackers blijvende externe toegang tot het systeem, waardoor ze kunnen opereren alsof ze geautoriseerde IT-beheerders zijn. Deze tactiek stelt aanvallers in staat om traditionele malwaredetectie te omzeilen en op te gaan in legitieme netwerkactiviteit.
Deze blog zal uitleggen hoe de aanval werkt, waarom legitieme remote access tools worden getarget, en wat je kunt doen om misbruik in jouw omgeving te voorkomen.
Hoe de Aanval Werkt
Deze phishingcampagne volgt een duidelijke volgorde die is ontworpen om ontvangers te misleiden tot het installeren van legitieme remote access tools onder controle van de aanvaller.
1. Phishing e-mailbezorging
Aanvallers sturen e-mails die afkomstig lijken te zijn van vertrouwde bronnen, zoals Microsoft OneDrive-bestandsdelingmeldingen. Deze berichten worden verzonden vanaf gecompromitteerde Microsoft 365-accounts, wat hun geloofwaardigheid vergroot.
2. Kwaadaardige Bestandsopslag
De e-maillink leidt het doelwit naar een kwaadaardige MSI-installatieprogramma gehost op Discord's content delivery network (CDN). Het hosten van het bestand op een bekende service helpt het om sommige beveiligingsfilters te omzeilen.
3. Installatie van Legitieme RMM en Remote Access Tools
Wanneer uitgevoerd, installeert de installer stilletjes:
Splashtop Streamer
Atera Agent
Ondersteunende componenten zoals .NET Runtime 8
Het installeren van meer dan één tool zorgt voor persistentie. Als één applicatie wordt gedetecteerd en verwijderd, kan de andere nog steeds toegang bieden.
4. Remote Toegang en Controle
Met de tools op hun plaats kunnen aanvallers:
Toegang tot het systeem op afstand
Bestanden of gegevens verplaatsen
Commando's uitvoeren alsof ze geautoriseerd IT-personeel zijn
Waarom aanvallers legitieme remote access tools gebruiken
Remote access- en RMM-software zijn ontworpen om IT-teams te helpen apparaten veilig te beheren, problemen op afstand op te lossen en updates uit te voeren vanaf elke locatie. Dezezelfde mogelijkheden maken ze aantrekkelijk voor aanvallers wanneer ze worden misbruikt:
Gaat op in normale activiteit – De software is vertrouwd en vaak al aanwezig in veel omgevingen, dus de installatie ervan wekt mogelijk niet meteen argwaan.
Omzeilt traditionele malwaredetectie – Beveiligingstools markeren mogelijk geen legitieme, digitaal ondertekende applicaties op dezelfde manier als onbekende uitvoerbare bestanden.
Verleent volledige systeemcontrole – Eenmaal geïnstalleerd, geven deze tools hetzelfde niveau van toegang als een geautoriseerde IT-beheerder.
Zorgt voor persistentie – Het inzetten van meer dan één tool (zoals gezien in deze campagne) maakt het mogelijk om toegang te behouden, zelfs als er één wordt verwijderd.
Niet Veroorzaakt Door een Softwarefout
Dit type misbruik wordt niet veroorzaakt door een kwetsbaarheid in de software. In plaats daarvan komt het voort uit succesvolle social engineering. Het grootste wapen van de aanvaller is iemand overtuigen om de tool voor hen te installeren, waardoor normale IT-controles worden omzeild.
Voor de aanval om te slagen, moesten verschillende stappen op elkaar aansluiten:
Een phishing-e-mail overtuigde het doelwit om op een kwaadaardige link te klikken.
Het slachtoffer downloadde en voerde een vermomde installer uit.
De software werd geïnstalleerd zonder goedkeuring van IT.
De aanvaller maakte verbinding met de nieuw geïnstalleerde software.
Als een van deze stappen wordt geblokkeerd, mislukt de aanval. Daarom zijn sterke phishingverdedigingen, installatiecontroles en accountbeveiligingsmaatregelen essentieel.
Misbruik van Splashtop in Uw Omgeving Voorkomen
Hoewel de software zelf niet werd uitgebuit in deze campagne, kunnen organisaties proactieve stappen ondernemen om het voor aanvallers veel moeilijker te maken om legitieme software te misbruiken:
Beperk software-installatie tot goedgekeurde beheerders via endpoint-beheerbeleid.
Informeer medewerkers over hoe phishingpogingen te herkennen, inclusief verdachte links voor het delen van bestanden.
Herinner het personeel eraan nooit installers te downloaden of uit te voeren van onverwachte e-mails, zelfs als ze van interne bronnen lijken te komen.
Moedig snelle rapportage aan van verdachte berichten of onverwachte remote access-meldingen.
Door deze maatregelen te combineren, wordt ervoor gezorgd dat zelfs als een phishing-e-mail erdoorheen glipt, er meerdere beveiligingen in de weg staan van een aanvaller die toegang krijgt.
Hoe Splashtop Helpt Toegang te Beveiligen
Splashtop bevat ingebouwde beveiligingsfuncties die zijn ontworpen om organisaties controle te geven over wie kan verbinden, van waar en onder welke voorwaarden. Wanneer correct geconfigureerd, maken deze mogelijkheden het veel moeilijker voor aanvallers om het platform te misbruiken.
Belangrijke beveiligingsfuncties zijn onder andere:
Multifactorauthenticatie (MFA) om de identiteit van de gebruiker te verifiëren voordat toegang wordt verleend.
Single sign-on (SSO) integratie voor gecentraliseerde toegangscontrole en handhaving van bedrijfsauthenticatiebeleid.
Rolgebaseerde toegangscontroles waarmee beheerders permissies kunnen beperken op basis van functie.
Apparaatauthenticatie om ervoor te zorgen dat alleen goedgekeurde machines verbinding kunnen maken.
Sessie logging en opname voor inzicht in wie wat en wanneer heeft benaderd.
Gedetailleerde implementatiecontroles om de installatie van Splashtop Streamer te beperken tot goedgekeurde systemen.
Onze Toewijding aan Veiligheid
Splashtop neemt veiligheid serieus en houdt nauwlettend toezicht op meldingen van cyberdreigingen die onze producten betreffen, zelfs wanneer de activiteit het resultaat is van misbruik in plaats van een kwetsbaarheid. Wij geloven dat transparantie essentieel is om het vertrouwen van onze klanten en partners te behouden.
Onze beveiligings- en engineeringteams evalueren continu potentiële misbruikscenario's, verbeteren detectiemogelijkheden en bieden begeleiding om klanten te helpen Splashtop veilig te configureren. Wanneer er nieuwe dreigingsinformatie opduikt, beoordelen we of er wijzigingen in productfuncties, standaardinstellingen of klanteducatiematerialen nodig zijn.
Wanneer Splashtop wordt ingezet en beheerd door geautoriseerde beheerders, blijft het een veilig en betrouwbaar platform voor remote access. Door onze ingebouwde beveiligingsfuncties te combineren met endpoint-bescherming en gebruikersbewustzijnstraining, kunnen organisaties het risico op misbruik aanzienlijk verminderen.
Ontdek onze Splashtop-producten en neem contact op om meer te leren over onze oplossingen en beveiliging.
