악성 ScreenConnect 클라이언트, 새로 연결된 호스트에 4단계 VBScript 체인 전파

Ravie Lakshmanan 2026년 9월 7일 · 악성코드 / 취약점

사이버보안 연구자들이 ConnectWise ScreenConnect를 악용해 새로 연결된 시스템에 악성 VBScript(비주얼 베이직 스크립트) 페이로드를 배포하는 웜(worm)형 활동의 세부 내용을 공개했다.

Huntress에 따르면, 서로 관련이 없는 세 건의 사고에서 Quick Assist 기술지원 사기, 피싱으로 전달된 MSI 설치 파일, 가짜 Geek Squad 환불 양식 유인물 등 다양한 초기 침투 방법이 사용돼 4단계 VBScript 체인이 활성화됐으며, 최종적으로 악성 ScreenConnect가 설치된 것으로 확인됐다.

이 사이버보안 기업은 ScreenConnect 인스턴스가 설치된 후 클라이언트가 반복적으로 "wscript.exe"를 생성해 1.vbs, 2.vbs, 3.vbs, 4.vbs라는 이름의 VBScript를 실행하는 것을 관찰했다. 해당 사고들은 2026년 8월에 확인됐다.

세 건의 공격 세부 내용은 다음과 같다.

• 사용자를 기술지원 사기의 일환으로 Quick Assist를 실행하도록 유도한 소셜 엔지니어링 공격. 이후 악성 ScreenConnect 원격 접근 클라이언트가 배포돼 "45.13.237[.]190" ("tele-sync.opik[.]net")에 위치한 명령제어(C2) 서버에 접속했다. 해당 IP 주소에는 4개의 VBS 파일이 담긴 RAR 아카이브가 호스팅돼 있었다.
• 피싱 공격으로 전달된 것으로 추정되는 MSI 설치 파일("ScreenConnect.ClientSetup.msi")이 포트 8041을 통해 "131.123.40[.]98"과 통신하도록 설정된 ScreenConnect 클라이언트를 배포했다. 악성 ScreenConnect는 설치 즉시 ScreenConnect 임시 디렉터리에서 4개의 VBScript 파일을 실행했다.
• Geek Squad 환불 양식을 검색한 결과 악성 ScreenConnect 클라이언트("ScreenConnect.Client.exe")가 배포됐으며, "borertors92.anondns[.]net"에 연결됐다. 이후 세션은 "wscript.exe"를 사용해 Temp 폴더에서 4개의 VBS 스크립트를 실행했다.

이 사고들에서 공격 순서는 각 VBScript가 다음 단계를 실행해 공격이 진행되는 4단계 프로세스를 따른 것으로 알려졌다.

• 1.vbs: 호스트를 프로파일링하고, 시스템 리소스(예: RAM이 5GB 초과 여부)를 확인하며, ScreenConnect 설치 여부를 검증하고, Cisco AMP, CrowdStrike, Huntress, Malwarebytes, SentinelOne, Sophos, Symantec Endpoint Protection 등 보안 제품을 열거한다. 이러한 확인 결과를 3비트 상태 변수 형태로 "%TEMP%\value.txt"에 기록한다. 예를 들어 상태 값 "000"은 기존 ScreenConnect 설치 없음, 서드파티 보안 프로세스 존재, Program Files 폴더 내 ScreenConnect 클라이언트 없음을 나타낸다.
• 2.vbs: "%TEMP%\value.txt" 파일을 기다린 후 "abort"라는 단어의 존재 여부를 확인한다. 해당 단어가 없으면 Dropbox에서 파일을 내려받아 내용을 디코딩하고 "%TEMP%\map.txt"에 저장한다. 텍스트 파일 내용은 실행되지 않으며, 2026년 9월 2일 기준 Dropbox URL이 오프라인 상태여서 내려받은 페이로드의 정확한 성격은 불명확하다.
• 3.vbs: 2.vbs와 유사하게 "%TEMP%\map.txt"를 기다린 후, 1.vbs가 "%TEMP%\value.txt"에 설정한 상태 값을 기반으로 텍스트 파일에 지정된 Dropbox 링크에서 관련 파일을 내려받아 "%TEMP%\out.enc"에 저장한다.
• 4.vbs: 내려받은 "%TEMP%\out.enc" 페이로드가 생성되길 기다린 후, PowerShell 스크립트("%TEMP%\runner.ps1")를 실행해 "%TEMP%\out.enc" 내용을 복호화하고, "%APPDATA%\Microsoft\Windows\Templates\Classic\sys_cache.zip"에 저장한 뒤, 2단계 PowerShell 스크립트("PyTorchFix.ps1")를 실행한다.

상태 값에 따라 최소 세 가지 페이로드가 탐지됐다.

• 000 및 001: 사용자 수준 ScreenConnect 백도어 설치
• 010: UAC(사용자 계정 컨트롤) 우회를 통한 권한 상승 및 지속성 확보 도구
• 011: 터널링 유틸리티 및 암호화폐 채굴기

또한 "%TEMP%\runner.ps1"은 모든 "wscript.exe" 또는 "cscript.exe" 프로세스를 종료하고, 최종 단계 실행 후 스테이징 디렉터리를 삭제한다. 4.vbs 스크립트는 "%TEMP%\value.txt" 값이 010 또는 011인 경우 4개의 VBScript 파일을 "C:\Users\Public\Libraries\Default\Lib\Lib1"에 저장한다.

이로 인해 페이로드 배포가 연쇄적으로 발생하며, 사실상 감염된 호스트가 악성 스크립트의 콘텐츠 전달 매개체로 변환돼 백도어 클라이언트가 새로운 Host 연결을 감지할 때마다 작동한다.

Huntress는 "이것은 웜과 유사한 동작을 만들어냅니다. 새로운 ScreenConnect 연결을 통해 감염을 전파합니다. 감염된 ScreenConnect 클라이언트에 연결하면 서버 측 Host 시스템이 동일한 4단계 VBScript 체인을 수신하고 실행할 수 있습니다"라고 말했다. "이후 클라이언트는 동일한 활성 세션을 반복 표적으로 삼지 않도록 각 ConnectionID를 기록하지만, 연결이 끊기면 해당 식별자를 삭제합니다. 따라서 이후 재연결 시 다시 감염이 트리거될 수 있습니다."

Huntress는 "사고들에서 사용자의 AppData 디렉터리에 있는 WindowsServiceHost.vbs를 가리키는 Windows 서비스 호스트 사용자 실행 키를 포함한 추가 지표가 공유됩니다"라고 밝히며, 일부 피해 호스트에서 UltraViewer 등 다른 RMM(원격 모니터링 및 관리) 도구도 관찰됐다고 덧붙였다.

한편, 상태 값 분기 "011"은 (1) 시스템에 ScreenConnect가 기존에 설치되지 않음, (2) Microsoft Defender가 유일한 엔드포인트 보호 프로그램, (3) ScreenConnect 클라이언트가 존재하지 않음을 의미하며, Microsoft Defender 보고 비활성화, Windows 메모리 무결성 비활성화, XMRig 암호화폐 채굴기 실행 페이로드를 포함한다.

Huntress는 "이러한 공격 체인의 범위와 복잡성을 감안해 Huntress SOC는 감염된 호스트를 신뢰할 수 있는 미디어로 재이미징하거나 클린 운영체제를 새로 설치할 것을 강력히 권고했습니다"라고 말했다.

이 조사 결과에 대응해 ConnectWise는 보안 권고문을 발표하며 ScreenConnect 원격 접근 지원 및 액세스 세션의 파일 전송 동작에 영향을 미치는 문제를 발견했다고 밝혔다. 이 문제는 클라우드 및 온프레미스 배포 모두에 영향을 미친다고 덧붙였다.

수정이 완료될 때까지 고객들은 기술자의 파일 전송 기능을 비활성화해 위험을 완화할 것을 권고받았다.

• ScreenConnect 인스턴스 또는 설치의 Administration 페이지에 로그인한다.
• Administration > Security > Roles 섹션으로 이동한다.
• 사용자에게 할당된 역할을 편집한다.
• 권한이 할당된 각 세션 그룹을 검토한다.
• 각 세션 그룹의 Scoped Permissions 창에서 TransferFiles 권한(구 버전의 경우 TransferFilesInSession)이 선택돼 있는지 확인한다. 선택돼 있다면 선택을 해제한다.
• 역할에 대한 변경 사항을 저장한다.
• 인스턴스 또는 설치에 정의된 각 역할에 대해 반복한다.