🟠 可疑 — 无壳 | 签名: DigiCert | ScreenConnect RMM 远程访问代理

302f4b1ccf1808fa57fd30f4e8e2723b283fc8a1d4fa86267d7d11183ada2715

MD5 d60faab06fd2a96468f60d9d03ddede2 | 大小 9,615,851 bytes (9.17 MB) | 来源 2026-08-11.zip | 分析日期 2026-08-13 20:00 UTC

ScreenConnect RMM 远程访问 Rust

80%

置信度评分

ScreenConnect (ConnectWise Control)

§1 样本概要 §2 分类与情报 ★ §3 持久化 ★ §3b C2 架构 §4 结构分析 §5 反汇编行为 ★ §6 家族分析 ★ §7 深度行为 ★ §8 恶意性判定 §9 ATT&CK §10 反分析技术 §11 逆向分析 ★ §12 QEMU 动态 §13 IOC 汇总 §14 最终判定

§1 📋 样本概要信息

SHA256

302f4b1ccf1808fa57fd30f4e8e2723b283fc8a1d4fa86267d7d11183ada2715

MD5

d60faab06fd2a96468f60d9d03ddede2

文件大小

9,615,851 bytes (9.17 MB)

文件类型

PE32 可执行文件 (GUI)

目标架构

x86 (i686)

位宽

32-bit

字节序

Little-endian

编译器

Rust (i686-pc-windows-msvc)

链接方式

MSVC Linker 14.33.31630

加壳/保护

无壳

入口点

N/A

编译时间戳

N/A

子系统

Windows GUI

数字签名

有（DigiCert 代码签名）

📌 概要
该样本为 ConnectWise ScreenConnect（原 ConnectWise Control）远程访问代理的 Rust 编译版本，内置 CLIENT_LAUNCH_PARAMETERS 启动参数指向云中继 instance-q0mttg-relay.screenconnect.com:443，内含 RSA 公钥（BgIAAACkAABSU0Ex...）用于与中继建立加密会话。ScreenConnect 是合法的远程支持软件，但被 LockBit、BlackCat 等勒索软件团伙大规模滥用于初始访问与横向移动（RMM abuse）。样本经 Rust 编译（官方客户端为 C#），且出现在 MalwareBazaar 恶意样本库中，高度疑似被投递用于未经授权的远程访问。CAPA 检出 PEB 访问、反 Xen 虚拟机字符串、资源提取、嵌入 PE 文件等能力。

§2 🏷️ 分类标签与威胁情报

分类标签

分类	标签	置信度
样本类型	远程访问工具（RMM agent）	HIGH
软件身份	ConnectWise ScreenConnect / Control	HIGH
威胁模型	RMM 滥用（勒索软件初始访问）	MEDIUM
编译语言	Rust（非官方 C# 客户端，可疑）	MEDIUM
代码签名	DigiCert 签名（证书可被滥用/仿冒）	MEDIUM

📌 证据→推理→结论
ScreenConnect 判定证据链：CLIENT_LAUNCH_PARAMETERS?e=Access&y=Guest&h=instance-q0mttg-relay.screenconnect.com&p=443&k=BgIAAACkAABSU0Ex... 启动参数 → 大量 ScreenConnect/ConnectWise/Relay 字符串 → DigiCert 代码签名 → Rust 编译（官方客户端为 C#，此为异常）。

威胁情报

字段	值
关联组织	未归因（ScreenConnect 工具被多个勒索软件团伙滥用）
别名	ConnectWise Control, ScreenConnect
动机	远程访问 / 勒索软件横向移动
目标行业	全行业（RMM 滥用不分行业）
活动名称	RMM 工具滥用（LockBit/BlackCat/Play 等）
C2协议	ScreenConnect 中继协议（TLS 443）
C2基础设施	instance-q0mttg-relay.screenconnect.com

🎯 威胁组织判定
ScreenConnect 为合法商业远程支持软件，本身非恶意。但其在 MalwareBazaar 的出现 + Rust 编译 + 反虚拟机字符串，强烈提示被用于未授权远程访问（RMM abuse）。无法归因到单一 APT 组织，标注为未归因。

★ §3 🔬 持久化机制

未检出持久化行为。

★ §3b 🌐 C2 架构分析

通联关系图

受害主机 ⇄ instance-q0mttg-relay.screenconnect.com:443 ⇄ 攻击者

📋 ASCII 文本视图 (点击展开)

无

🌐 C2 通信深度分析

🔬 C2 地址分析技术细节:

通道 1: ScreenConnect 中继

协议	ScreenConnect Relay (TLS)
端口	443
地址/Domain	instance-q0mttg-relay.screenconnect.com
IP	云中继（IP 动态）
加密	TLS + RSA
用途	远程访问会话中继
API引用	WinHTTP/套接字 API
证书	DigiCert 签发

C2 通信时序

开机即连接中继，等待远程会话

⚠ C2 基础设施评估

使用 ScreenConnect 官方云中继（instance-q0mttg），属于合法基础设施被滥用场景。

📌 ATT&CK 映射: T1219 (远程访问软件)

§4 🏗️ 结构分析

段/节区布局

N/A

熵值分析

段/节区	熵值	判定
.text	6.59	偏高
.rdata	4.79	正常
.data	2.27	正常
.rsrc	7.74	高熵/可疑
.reloc	0.00	正常

📊 熵值解读
.rsrc 段熵 7.74（资源段含压缩/嵌入内容），.text 段 6.59 为 Rust 代码正常熵值。

§5 ⚙️ 反汇编与行为流程

关键函数映射

地址	函数	功能
N/A

系统调用分析

调用号	系统调用	用途	地址
N/A

行为执行流

§6 🔬 家族溯源

编译元数据

字段	值	来源
无

家族特征比对

维度	本样本	ScreenConnect	AnyDesk	TeamViewer	Ammyy	Atera	Splashtop	RustDesk	SupRemo	匹配
启动参数含中继+RSA	有	✅ 有	无	无	无	无	无	无	无	1/8
Rust 编译	有	无	无	无	无	无	无	✅ 有	无	1/8
云端中继	有	✅ 有	✅ 有	✅ 有	✅ 有	✅ 有	✅ 有	无	✅ 有	7/8

📌 家族归因结论
与 ConnectWise ScreenConnect 客户端特征完全吻合（中继+RSA 启动参数为 ScreenConnect 独有），判定为 ScreenConnect RMM 代理。

已知变种

变种	架构	大小	编译器	特征	状态
ScreenConnect (Rust)	x86	9,615,851	Rust	DigiCert	本样本

§7 🔬 深度行为分析

行为阶段拆解

① 启动

行为: Rust 运行时初始化，解析启动参数

证据: CLIENT_LAUNCH_PARAMETERS 字符串

② 中继连接

行为: 连接 ScreenConnect 云中继，建立 TLS 加密会话

证据: relay.screenconnect.com:443 + RSA 公钥

③ 远程控制

行为: 提供远程桌面/文件传输/命令执行能力

证据: ScreenConnect RMM 功能

协议/行为状态机

未构建

📌 行为时序总结

无数据

§8 🔬 恶意性综合判定

多维度证据评估

维度	证据	权重	恶意指数
远程控制	RMM 代理	4	6/10
隐蔽性	合法签名	2	3/10
持久化	未确认	2	3/10

恶意性综合判定

误报排除论证

ScreenConnect 本身是合法商业软件；但 Rust 编译 + MalwareBazaar 来源 + 反虚拟机字符串提示其为恶意投递的远程访问工具。

⚠ 判定结论

可疑（双用途远程访问工具）

§9 🎯 ATT&CK 映射

Command and Control

T1219

远程访问软件

ScreenConnect RMM 代理

Defense Evasion

T1497

虚拟化/沙箱规避

CAPA 检出反 Xen 虚拟机字符串

Execution

T1059

命令与脚本解释器

远程命令执行能力

§10 🛡️ 反分析技术评估

反调试

层	API/技术	检测目标	绕过难度
无

反虚拟机

检测方法	VMware	VirtualBox	QEMU/KVM
无

综合评估

技术	是否存在	证据	对抗难度
反 Xen 虚拟机	已检测	CAPA: reference anti-VM strings targeting Xen	低
PEB 访问	已检测	CAPA: PEB access（反调试常见）	低

检出反 Xen 虚拟机字符串与 PEB 访问（动态 API 解析），符合 RMM 代理的自我保护行为。

★ §10b 🧹 痕迹清理

层	操作	API/命令	证据来源
无

§11 🔧 逆向分析

Ghidra 反编译

反编译函数数	399
反编译输出	N/A
分析时长	37s

调用链分析 (GitNexus)

总函数数	总调用关系	最大调用深度
399	399 个函数（Rust，符号残缺）	深层（Rust 运行时）

📂 调用链拓扑 (点击展开)

N/A

★ §12 🔬 QEMU 动态分析

QEMU 模式	静态为主（QEMU 启动受阻）
网络隔离	QEMU -net none（未能启动）
执行结果	QEMU 虚拟机启动失败（AppArmor 权限），未执行动态分析
C2 数据	无动态 C2 捕获（静态 IOC 见 C2 章节）

§13 📦 IOC 汇总

IOC 字符串

偏移	字符串	类型	用途/含义	威胁等级
0x0000	instance-q0mttg-relay.screenconnect.com	C2 中继	ScreenConnect 云中继服务器	HIGH
0x0000	CLIENT_LAUNCH_PARAMETERS?e=Access&y=Guest	配置	客户端启动参数（含 RSA 公钥）	HIGH
0x0000	relay.screenconnect.com	域名	中继基础设施	MEDIUM
0x0000	ConnectWise / ScreenConnect	软件标识	产品身份	LOW

📌 关键 IOC 解读

⚠ 高威胁 IOC 汇总

C2 中继: instance-q0mttg-relay.screenconnect[.]com — ScreenConnect 云中继（远程访问通道）

网络 IOC

C2 中继instance-q0mttg-relay.screenconnect[.]com
基础设施relay.screenconnect[.]com

主机 IOC

远程访问ScreenConnect 客户端进程（远程控制能力）

YARA 检测规则

未生成

§14 📋 最终判定

判定结果	可疑
恶意类型	远程访问工具（RMM，双用途）
恶意家族	ScreenConnect (ConnectWise Control)
威胁级别	MEDIUM
置信度	80% — ScreenConnect 客户端启动参数明确；RMM 常被勒索软件团伙滥用
关联组织	未归因（工具滥用）
目标平台	Windows x86
感染链位置	远程访问载荷（潜在 RAT）

⚡ 综合判定

ConnectWise ScreenConnect 远程访问代理（Rust 编译），连接云端中继 instance-q0mttg-relay.screenconnect.com，可被用于远程控制受害主机。