ScreenConnect 漏洞正被广泛应用于 ToddleShark 恶意软件传播
内容提要
朝鲜黑客组织Kimsuky利用ScreenConnect漏洞投递新型恶意软件ToddleShark，利用身份验证绕过和远程代码执行漏洞获取访问权限。ToddleShark使用微软二进制文件最小化痕迹，执行注册表修改建立持久访问，并窃取数据。该恶意软件具有多态性特征，通过混淆代码和随机字符串改变结构模式，逃避检测。ToddleShark将收集的信息编码成邮件证书并外泄到攻击者的指挥和控制基础设施。
延伸解读
漏洞利用的快速武器化
ScreenConnect 的身份验证绕过和远程代码执行漏洞在披露后一天内就出现了公开利用代码，勒索软件团伙和 Kimsuky 等 APT 组织迅速将其纳入攻击工具库。这凸显了漏洞从公开到被大规模利用的时间窗口极短，企业若未能及时修补，极易成为间谍活动或勒索攻击的入口。
多态性如何增加检测难度
ToddleShark 通过随机生成函数和变量名、穿插垃圾代码、动态生成下载 URL 等方式，使每次感染的结构特征都不同。基于签名的检测几乎失效，安全团队需更依赖行为监控和异常进程分析，而非静态特征匹配。
合法工具与持久化机制的滥用
恶意软件使用 mshta.exe 等微软合法二进制文件执行恶意脚本，并修改注册表 VBAWarnings 键以启用 Office 宏，同时创建每分钟运行的计划任务。这些操作与正常系统活动混杂，增加了识别难度，也提醒管理员应监控此类合法工具的异常调用。
数据外泄手法的隐蔽性
ToddleShark 将收集的系统信息编码成 PEM 证书外泄至 C2 基础设施，这是一种较少见的隐蔽信道。由于 PEM 证书通常用于合法加密通信，这种外泄方式可能绕过常规网络检测，安全人员需关注异常证书流量。
Q&A
Kimsuky 黑客组织利用 ScreenConnect 的哪些漏洞来传播 ToddleShark 恶意软件？
Kimsuky 利用了 ScreenConnect 的两个漏洞：CVE-2024-1708 和 CVE-2024-1709，分别是身份验证绕过和远程代码执行漏洞。这些漏洞于 2024 年 2 月 20 日披露，ConnectWise 建议用户升级到 23.9.8 或更高版本。
ToddleShark 恶意软件如何实现持久化访问？
ToddleShark 通过修改 Windows 注册表中的 VBAWarnings 键，允许在 Microsoft Word 和 Excel 中运行宏，并创建计划任务，每分钟执行恶意代码，从而建立持久访问。
ToddleShark 如何逃避安全检测？
ToddleShark 具有多态性，通过使用随机生成的函数和变量名、混淆的 VBScript、十六进制编码代码与垃圾代码穿插、随机字符串和动态生成的下载 URL 来改变结构模式，使基于签名的检测失效。
ToddleShark 收集哪些系统信息？
ToddleShark 收集主机名、系统配置详情、用户账户、活动用户会话、网络配置、已安装的安全软件、所有当前网络连接、正在运行的进程以及通过解析常用安装路径和开始菜单列出的已安装软件。
ToddleShark 如何外泄窃取的数据？
ToddleShark 将收集到的信息编码成隐私增强邮件（PEM）证书，然后外泄到攻击者的指挥和控制（C2）基础设施。
ToddleShark 与 Kimsuky 之前的恶意软件有何关联？
ToddleShark 是 Kimsuky 的 BabyShark 和 ReconShark 后门的新变种，之前这些恶意软件曾针对美国、欧洲和亚洲的政府组织、研究中心、大学和智库。
