SILENTCONNECT es un cargador de malware de múltiples etapas recientemente descubierto que ha estado atacando silenciosamente máquinas con Windows desde al menos marzo de 2025. Utiliza VBScript, ejecución de PowerShell en memoria y enmascaramiento PEB para instalar la herramienta de monitoreo y gestión remota ConnectWise ScreenConnect en los sistemas de las víctimas. Una vez implementado, ScreenConnect otorga al atacante control total con teclado sobre el equipo comprometido

Utiliza VBScript, ejecución de PowerShell en memoria y mascaramiento PEB para instalar la herramienta de monitoreo y gestión remota ConnectWise ScreenConnect en los sistemas de las víctimas. Una vez desplegado, ScreenConnect le da al atacante control total con teclado sobre la máquina comprometida, lo que representa una grave amenaza para entornos corporativos en todo el mundo.

La infección comienza cuando un objetivo recibe un correo de phishing con un enlace que parece llevar a una invitación o propuesta legítima. Al hacer clic, la víctima es redirigida a una página de CAPTCHA de Cloudflare Turnstile que le pide verificar que es humano.

Una vez que se marca la casilla, un archivo VBScript llamado E-INVITE.vbs se descarga automáticamente en la máquina.

Los actores de amenazas han utilizado nombres de archivo convincentes como Proposal-03-2026.vbs para hacer que los señuelos parezcan creíbles y reducir la guardia de la víctima antes de la ejecución.

Investigadores de Elastic Security Labs identificaron la campaña a principios de marzo de 2026 después de que una infección estilo living-off-the-land generara múltiples alertas de comportamiento en un corto período.

La descarga inicial del VBScript activó una regla de detección de Script de Windows sospechoso descargado de Internet, lo que dio a los analistas un punto de pivote para rastrear la infección utilizando los campos de URL de origen del archivo.

El VBScript estaba alojado en el almacenamiento r2.dev de Cloudflare, mientras que la carga útil en C# se obtenía desde Google Drive, dos plataformas confiables que la mayoría de las defensas de red probablemente no bloquearían.

SILENTCONNECT se mezcla con la actividad normal de Windows para pasar desapercibido. El VBScript utiliza un cuento infantil como señuelo mientras oculta instrucciones reales dentro de las funciones Replace y Chr.

Cuando se decodifica, ejecuta un comando de PowerShell que usa el curl.exe integrado para descargar un archivo fuente en C#, lo compila en tiempo de ejecución a través de Add-Type y lo ejecuta completamente en memoria.

Dado que ningún ejecutable malicioso se escribe en el disco, la mayoría de las herramientas de seguridad de endpoints tienen dificultades para detectar este comportamiento en tiempo real.

La infraestructura del actor de amenazas también revela un patrón consistente. Un correo de phishing en VirusTotal con el asunto YOU ARE INVITED fue rastreado hasta dan@checkfirst[.]net[.]au, suplantando una propuesta de proyecto de una empresa falsa.

El atacante reutilizó la misma ruta URI — download_invitee.php — en múltiples sitios web comprometidos, lo que resultó ser un error de OPSEC, permitiendo a los investigadores mapear toda la infraestructura de la campaña a través de búsquedas específicas en VirusTotal.

Mascaramiento PEB y Evasión de Defensas

Una vez que se ejecuta el cargador .NET, SILENTCONNECT actúa rápidamente para desaparecer de la vista de las herramientas de seguridad. Después de dormir durante 15 segundos, asigna memoria ejecutable a través de NtAllocateVirtualMemory y copia un pequeño fragmento de shellcode en esa región.

Este shellcode recupera la dirección del Process Environment Block, una estructura de Windows que rastrea todos los módulos cargados en un proceso en ejecución, permitiendo que el malware opere a un nivel bajo del sistema mientras evita las llamadas a API comúnmente monitoreadas.

Con la dirección del PEB en mano, SILENTCONNECT realiza mascaramiento PEB localizando su propia entrada en la lista de módulos y sobrescribiendo tanto los campos BaseDLLName como FullDllName para mostrar winhlp32.exe y c:\windows\winhlp32.exe.

Dado que muchas soluciones EDR dependen de los datos del PEB como referencia confiable al identificar procesos sospechosos, este cambio de nombre disfraza al cargador como una utilidad de ayuda de Windows inofensiva, haciéndolo casi invisible para la detección automatizada.

Antes de instalar ScreenConnect, el cargador ejecuta un bypass de UAC a través de la interfaz COM CMSTPLUA, almacena sus parámetros en orden inverso como ofuscación y agrega silenciosamente una exclusión de Microsoft Defender para archivos .exe.

Luego descarga el MSI de ScreenConnect desde bumptobabeco[.]top a través de curl.exe, lo instala mediante msiexec.exe y lo configura como un servicio de Windows que se conecta al servidor del atacante a través del puerto TCP 8041.

Las organizaciones deberían auditar rutinariamente sus entornos en busca de implementaciones no autorizadas de RMM y monitorear el tráfico saliente hacia direcciones de servidores ScreenConnect desconocidas.

Los equipos de seguridad deberían marcar comandos de PowerShell que combinen Add-Type con descargas remotas, alertar sobre archivos VBScript obtenidos de Internet y vigilar cambios inesperados en las exclusiones de Defender.

El seguimiento de llamadas a NtAllocateVirtualMemory desde procesos .NET también puede ayudar a detectar esta amenaza antes de que alcance un compromiso total.