Aplicații false pentru HR le oferă hackerilor acces complet la calculatoarele angajaților. Capcana este greu de detectat pentru că aproape totul pare legitim

O nouă campanie de atacuri îi vizează pe angajații din departamentele de resurse umane și salarizare prin intermediul unor aplicații Windows false, care imită platforme cunoscute de HR și payroll. După instalare, acestea descarcă în fundal ScreenConnect, un software legitim de acces și administrare la distanță, configurat însă astfel încât atacatorii să poată controla persistent calculatorul victimei, potrivit The Register.

Campania este cu atât mai periculoasă cu cât aproape nimic din lanțul de atac nu arată ca malware în sensul clasic. Site-ul folosit pentru distribuirea aplicației este construit cu un serviciu legitim, fișierele sunt găzduite pe GitHub, iar instalatorul afișat victimei aparține Microsoft. Singurul indiciu major este că firmele de HR și payroll imitate de atacatori nu oferă, de fapt, aplicații desktop pentru Windows.

Hackerii mizează pe angajații care gestionează cele mai sensibile date din companie

Campania a fost descoperită de compania de securitate Allure Security și imită trei platforme americane de HR și payroll, ale căror nume nu au fost făcute publice. Atacatorii promovează versiuni desktop care promit acces mai rapid sau o experiență mai comodă decât interfața web obișnuită.

Pentru un angajat din HR sau contabilitate, o asemenea ofertă poate părea perfect plauzibilă. Tocmai acești utilizatori au însă acces frecvent la informații extrem de sensibile despre companie și angajați, de la date personale și beneficii până la salarii și informații financiare.

Vezi și:

Este legal să-i avertizezi pe ceilalți șoferi că urmează radarul? Diferența dintre Waze și flash-uri

Metoda se înscrie într-o tendință deja observată în numeroase atacuri, în care infractorii folosesc produse complet legitime pentru a evita sistemele de securitate. Playtech a relatat recent despre o grupare ransomware care folosește aplicații legitime de monitorizare și acces remote tocmai pentru a-și ascunde activitatea în rețelele companiilor.

În cazul de față, utilizatorii sunt direcționați către un site care arată convingător și a fost creat cu Lovable, un instrument AI legitim pentru construirea rapidă a aplicațiilor și paginilor web. Pagina este găzduită pe Vercel și protejată de sistemul de verificare anti-bot al platformei, ceea ce a făcut-o mai greu de indexat și analizat automat.

Instalarea pare perfect normală, dar ScreenConnect intră în fundal

Fișierele false sunt distribuite prin GitHub Releases, ceea ce adaugă încă un element de încredere. În loc să vadă un domeniu obscur sau un server suspect, utilizatorul descarcă fișierul de pe o platformă bine cunoscută, utilizată zilnic de dezvoltatori și companii din întreaga lume.

Vezi și:

Descarci un film prin torrent și îți infectezi calculatorul. Hackerii ascund un virus periculos în fișiere care promit filme populare, inclusiv „The Odyssey”

Contul oficial HBO Max de pe Reddit, spart de hackeri. Reclamele false instalau malware pe Windows și Mac

După lansarea instalatorului, victima vede un proces de instalare Microsoft complet legitim. Este instalat Microsoft .NET Desktop Runtime 8.0.26, astfel că toate ferestrele și mesajele afișate par normale. La final, însă, presupusa aplicație de HR nu apare nicăieri.

În paralel, fără o interfață vizibilă, este instalat ScreenConnect. Software-ul este configurat în modul „unattended”, adică permite accesul la distanță fără aprobarea utilizatorului de fiecare dată când cineva se conectează.

Mai mult, indiciile vizibile pentru victimă sunt dezactivate. Nu apare bannerul care avertizează că sistemul este controlat de la distanță, nu există iconiță în zona de notificări și nu este afișat niciun mesaj atunci când conexiunea este activă.

O tactică foarte asemănătoare a fost observată și în alte campanii recente. Playtech a scris despre invitații false care instalau ScreenConnect, atac în care un instrument legitim de suport remote era folosit pentru a crea acces persistent la sistem.

Hackerii pot rămâne conectați chiar și după repornirea calculatorului

Instalarea ScreenConnect este configurată să pornească automat odată cu Windows și să rămână activă între diferite sesiuni de utilizator. Practic, atacatorul obține un punct de acces persistent și interactiv către calculator, fără să fie nevoie să infecteze sistemul cu un troian clasic.

Acesta este și motivul pentru care atacul poate trece mai ușor de anumite sisteme de securitate. ScreenConnect este un produs real, utilizat de departamente IT și furnizori de suport tehnic. Din punctul de vedere al sistemului de operare, aplicația face exact ceea ce a fost proiectată să facă. Problema este doar cine o controlează.

Allure Security subliniază că aproape fiecare piesă a atacului provine dintr-o sursă legitimă: site-ul este realizat cu un serviciu AI real, găzduirea este legitimă, descărcarea vine de pe GitHub, iar fereastra de instalare aparține Microsoft.

Tocmai această combinație arată cât de mult s-au schimbat atacurile moderne. Nu mai este nevoie ca fiecare componentă să fie malware. Infractorii pot combina servicii și programe legitime într-un scenariu malițios, mizând pe încrederea utilizatorilor în brandurile cunoscute.

Un alt exemplu recent a fost campania în care site-uri false foarte convingătoare distribuiau programe care slăbeau Windows Defender și Windows Update.

Câte victime există nu se știe deocamdată

Cele trei fișiere false înregistraseră împreună 291 de descărcări pe GitHub la momentul publicării analizei. Numărul nu poate fi însă echivalat cu cel al victimelor, deoarece printre descărcări se află aproape sigur cercetători în securitate, sisteme automate de analiză și sandbox-uri.

Nu se știe nici modul exact în care sunt atrași utilizatorii către site-urile false. Campania ar putea folosi e-mailuri, reclame, rezultate de căutare sau alte metode de distribuire, însă cercetătorii nu au stabilit deocamdată vectorul inițial.

Pentru companii, semnalul de alarmă este simplu: faptul că un program vine de pe GitHub, afișează un instalator Microsoft sau folosește un instrument cunoscut de acces remote nu îl face automat sigur. În cazul departamentelor HR și payroll, verificarea directă a existenței unei aplicații desktop pe site-ul oficial al furnizorului poate preveni tocmai acest tip de atac.

Cât este indemnizația de șomaj în 2026 și cât timp o poți primi. Peste 5.400 de șomeri erau înregistrați în București la finalul verii