Фейковый апдейт вместо вируса: кампания SMOKE#SCREEN раздаёт удалённый доступ через поддельные установщики

Коротко: кампания SMOKE#SCREEN маскирует атаку под обновления Zoom и Adobe и «деловые документы». Запущенный файл через цепочку скриптов тихо устанавливает легальную программу удалённого доступа ScreenConnect (ConnectWise) — и злоумышленник получает контроль над ПК, не поднимая тревоги у антивируса. С 4 августа 2026 года атака добралась и до macOS. Опасность несёт не расширение, а источник файла: обновления ставьте только из самого приложения или с официального сайта.

Что произошло

Аналитики компании Securonix описали активную многоволновую кампанию под названием SMOKE#SCREEN. Её отличает не какой-то новый эксплойт, а социальная инженерия вокруг привычных файлов-обновлений: приманки маскируются под апдейты Zoom и Adobe, «просьбу проверить документ» и утилиты обслуживания системы. Все ниточки, по данным исследователей, ведут к одной инфраструктуре — управляющему серверу, который раздаёт нагрузку и держит связь с заражёнными машинами.

Конечная цель атаки — не украсть пароль напрямую, а незаметно поставить на компьютер жертвы ScreenConnect (продукт ConnectWise). Это легальная программа удалённого администрирования (RMM), которой пользуются ИТ-отделы и техподдержка. Но в руках злоумышленника она превращается в идеальный бэкдор: трафик выглядит как обычная удалённая помощь, а не как работа вируса. По оценке Securonix, за инфраструктурой стоят три отдельных управляющих кластера, привязанных к разным файлам-приманкам — «обновлению», «документу» и «просмотрщику».

Как работает цепочка: от «обновления» до чужого управления

Точка входа — целевое фишинговое письмо. Дальше вместо явного .exe в ход идёт цепочка неприметных файлов, каждый из которых по отдельности выглядит безобидно:

• Скрипт-загрузчик (VBScript). Первым запускается обфусцированный .vbs-дроппер. Прежде чем действовать, он проверяет окружение — не песочница ли это и не анализируют ли его, — и только потом разворачивает следующий этап.
• Архив и «тихая» подготовка. В одном из вариантов внутри сжатого архива лежит .bat-скрипт, который отключает защитный интерфейс AMSI, повышает права через UAC, глушит фильтр SmartScreen и стирает у файла метку «скачано из интернета» (поток Zone.Identifier, он же Mark-of-the-Web). После этого запускается установщик.
• Подписанный установщик MSI. Финальный .msi ставит ScreenConnect. Хитрость в том, что файл подписан действующим сертификатом, выданным ConnectWise через доверенный центр DigiCert. Для многих систем защиты подпись «известного корпоративного софта» — повод снизить бдительность и пропустить файл.
• Компилированные загрузчики .NET и фишинг-страница. В арсенале кампании также замечены исполняемые модули на .NET и HTML-страница-приманка (например, zoom-update.html), которую раздавали через ссылки в облаке и туннели Cloudflare.

Итог для жертвы одинаков во всех сценариях: на машине бесшумно оказывается работающий агент ScreenConnect, который «стучится» на сервер атакующего и даёт ему постоянный, легально выглядящий удалённый доступ.

Угроза добралась и до Mac

Раньше подобные RMM-схемы считались проблемой преимущественно Windows. Теперь это не так: 4 августа 2026 года исследователи зафиксировали связанный с той же инфраструктурой пакет для macOS с говорящим именем ZoomUpdateInstaller.pkg. Механика та же — пользователю предлагают «доустановить обновление Zoom», а на деле устанавливают средство удалённого доступа. Вывод простой: привычка «у меня Mac, значит безопасно» больше не работает, и проверять источник установочного файла нужно на любой системе.

Что это значит для работы с файлами

SMOKE#SCREEN — наглядный пример того, что современная атака чаще выглядит как рутинная установка софта, а не как «страшный вирус». Хорошая новость: базовая дисциплина при работе с файлами закрывает почти весь этот класс угроз. Несколько практических правил:

1. Обновляйте программы только изнутри самого приложения или с официального сайта. Настоящие Zoom, Adobe и другие продукты обновляются встроенным механизмом. «Апдейт», пришедший письмом, всплывшим окном на сайте или ссылкой в мессенджере, — почти всегда приманка.
2. Не запускайте установщики и скрипты из архивов «на доверии». Особенно опасны вложенные в RAR/ZIP файлы .bat, .cmd, .vbs, .js и .hta. О рисках исполняемых форматов — в разборе чем опасны EXE и APK.
3. Насторожитесь, если файл просит «отключить защиту». Легитимному установщику не нужно, чтобы вы гасили SmartScreen или антивирус. Запрос повышенных прав от свежескачанного «обновления» — красный флаг.
4. Проверяйте подозрительный файл до запуска. Прогоните загрузку через онлайн-антивирусы — как это сделать, описано в гайде проверить файл на вирусы. Помните: даже валидная цифровая подпись не гарантирует, что софт безопасен в вашем случае.
5. Проверяйте реальный формат, а не только значок. Иконка «документа» или «картинки» ничего не доказывает — уточнить настоящий тип файла помогает карта опасных расширений с проверкой по сигнатуре.

Общие правила безопасной работы с загрузками — как проверять файлы, шифровать данные и делать резервные копии — собраны в разделе безопасность файлов. Тот же принцип, что и в истории с опасными вложениями RAR, SVG и PDF, работает и здесь: доверять нужно не расширению и не значку, а источнику файла.

Источники

• Securonix Threat Research — SMOKE#SCREEN: ScreenConnect RMM Abuse, Cloudflare Tunnels, and Trusted Software Lures
• The Hacker News — Fake Adobe and Zoom Updates Install ScreenConnect for Persistent Remote Access
• Security Affairs — SMOKE#SCREEN Campaign Abuses ScreenConnect to Give Attackers Remote Control Access