Fałszywe aplikacje płacowe instalują ScreenConnect na komputerach działu płac

Allure Security wykryła strony z „aplikacjami desktopowymi” trzech dużych amerykańskich platform płacowych i kadrowych. Te platformy nigdy takich aplikacji nie wydały. Instalator ma około 64 MB i jest zbudowany w NSIS. Instaluje ScreenConnect, legalne narzędzie zdalnego dostępu, ustawione tak, że przestępca steruje komputerem bez wiedzy użytkownika. Strony powstały w Lovable, kreatorze stron opartym na AI. Stały na Vercelu za ekranem weryfikacji botów, więc automatyczne skanery na nie nie trafiały. Plik leżał na GitHubie, w osobnym repozytorium dla każdej marki.

Kogo dotyczy

Chodzi o osoby, które prowadzą płace w firmach korzystających z tych platform. Ryan Merritt z Allure Security mówi, że nienadzorowany dostęp do ich komputera to droga do przekierowania albo wyprowadzenia wynagrodzeń całej firmy. Badacze nie podali, pod które platformy podszywał się przestępca. Wszystkie trzy działają w przeglądarce i mają aplikacje mobilne. Żadna nie oferuje aplikacji desktopowej.