Hacker Menyalahgunakan Faronics Deploy untuk Memasang ScreenConnect di Komputer Korban

Pelaku phishing menyalahgunakan platform manajemen endpoint Faronics Deploy yang sah untuk memperoleh kendali administratif jarak jauh atas komputer korban dan memasang software remote support ConnectWise ScreenConnect.

Serangan yang diamati antara 21 Juli hingga 20 Agustus 2026 menggunakan email bertema Faronics yang dikemas sebagai invoice, dokumen pajak, maupun file bisnis lainnya. Kampanye tersebut telah menjangkau lebih dari 457 endpoint.

Faronics Deploy sendiri merupakan platform manajemen endpoint berbasis cloud yang digunakan administrator IT untuk mendaftarkan dan mengelola komputer dari jarak jauh, mendistribusikan software, serta menjalankan script.

Email Phishing Mengarahkan Korban ke Download Palsu

Menurut perusahaan managed detection and response (MDR) Huntress, email phishing tersebut berisi tautan berbahaya yang mengarahkan calon korban ke sebuah situs yang terlebih dahulu melakukan profiling terhadap target.

Situs tersebut kemudian menyesuaikan alur download berdasarkan karakteristik pengunjung. Jika diakses dari lingkungan yang terdeteksi sebagai sistem analisis, misalnya, situs dapat menampilkan halaman error atau menjalankan rutinitas umpan untuk menyembunyikan aktivitas sebenarnya.

Korban yang dianggap sebagai target asli kemudian diarahkan untuk mengunduh installer Faronics Deploy yang sebenarnya sah dan telah ditandatangani secara digital.

Masalahnya, installer tersebut disamarkan sebagai dokumen Adobe, aplikasi pembaca file, atau update plugin sehingga korban mengira sedang memasang software yang dibutuhkan.

Salah satu nama file yang diamati adalah:

Adobe.exe

Faronics Deploy Dijadikan Alat Serangan

Ketika korban menjalankan installer tersebut, komputer mereka secara otomatis didaftarkan ke dalam deployment Faronics yang dikendalikan oleh penyerang.

Pada tahap ini, pelaku tidak perlu mengeksploitasi kerentanan pada Faronics Deploy. Sebaliknya, mereka menyalahgunakan fitur administrasi yang memang disediakan platform untuk menjalankan perintah dari jarak jauh.

Penyerang kemudian menggunakan fungsi remote deployment Faronics untuk menjalankan PowerShell script pada endpoint yang telah terdaftar tanpa memerlukan interaksi tambahan dari korban.

Script tersebut digunakan untuk mengunduh tool berikutnya dari infrastruktur yang dikendalikan penyerang maupun lokasi eksternal seperti GitHub.

Dengan memanfaatkan platform administrasi yang legitimate, aktivitas berbahaya dapat terlihat seperti proses manajemen software biasa dan berpotensi lebih sulit dibedakan dari aktivitas administrator IT yang sah.

ScreenConnect Dipasang sebagai Jalur Akses Kedua

Salah satu tujuan utama rangkaian serangan ini adalah memasang ConnectWise ScreenConnect, software remote access yang legitimate.

Huntress menemukan bahwa script yang digunakan pelaku memiliki beberapa variasi. Sebagian menggunakan curl atau mshta untuk mengambil konten tambahan, sementara variasi lainnya memanfaatkan msiexec untuk memasang payload yang di-hosting pada infrastruktur milik penyerang.

Setelah proses tersebut selesai, ScreenConnect memberikan pelaku saluran akses jarak jauh tambahan ke komputer yang telah dikompromikan.

Hal ini memberikan keuntungan bagi penyerang karena akses ScreenConnect berjalan secara independen dari deployment Faronics yang disalahgunakan.

Jika administrator menyadari adanya deployment Faronics mencurigakan lalu menghapus agent tersebut, penyerang masih dapat mempertahankan akses melalui ScreenConnect.

Dengan demikian, software remote support tersebut berfungsi sebagai mekanisme redundancy dan persistence, sekaligus memberikan kontrol interaktif yang lebih nyaman bagi operator serangan.

Faronics Mengonfirmasi Penyalahgunaan

Huntress melaporkan temuannya kepada Faronics pada 5 Agustus 2026.

Faronics kemudian mengonfirmasi adanya aktivitas berbahaya yang diamati oleh Huntress dan mengambil tindakan dengan menerapkan mekanisme anti-abuse tambahan untuk mencegah platformnya kembali dimanfaatkan dengan cara serupa.

Perusahaan juga menghubungi organisasi yang berpotensi menjadi korban untuk memberi tahu mereka mengenai kemungkinan kompromi.

Menurut Huntress, jumlah aktivitas berbahaya turun secara signifikan mulai 21 Agustus, yang menunjukkan bahwa langkah mitigasi Faronics kemungkinan berhasil mengganggu kampanye tersebut.

Cara Administrator Mendeteksi Kompromi

Huntress menyarankan administrator memeriksa log Faronics pada lokasi berikut:

C:\ProgramData\Faronics\Logs\

Administrator terutama perlu mencari file:

ScriptRunner.log

File tersebut berpotensi menyimpan nama script yang dijalankan secara remote serta URL yang digunakan untuk mengunduh konten tambahan.

Selain itu, administrator dapat memeriksa parameter ck dalam request konfigurasi Faronics. Parameter tersebut mengidentifikasi deployment pelanggan terkait dan dapat membantu menemukan endpoint maupun akun deployment yang telah disalahgunakan.

Administrator juga disarankan melakukan pemeriksaan terhadap instalasi ScreenConnect yang tidak seharusnya terdapat pada endpoint tertentu.

Jika ScreenConnect ditemukan pada komputer yang tidak semestinya menggunakan software tersebut, keberadaannya perlu dianggap sebagai indikator potensial kompromi dan ditelusuri bersama log Faronics serta aktivitas PowerShell.

Penyalahgunaan Tool Resmi Semakin Marak

Serangan ini menunjukkan pola yang semakin sering digunakan pelaku ancaman: menyalahgunakan software administrasi legitimate daripada membawa tool berbahaya yang mudah terdeteksi.

Dalam kasus ini, Faronics Deploy memang dirancang untuk memungkinkan administrator mendaftarkan komputer, menjalankan script, dan memasang software dari jarak jauh. Fitur yang sama kemudian dimanfaatkan penyerang setelah korban secara tidak sadar memasukkan endpoint mereka ke dalam deployment yang dikendalikan pelaku.

Pemasangan ScreenConnect juga memperlihatkan bagaimana penyerang dapat membangun beberapa jalur akses sekaligus. Bahkan jika satu mekanisme berhasil dihentikan oleh tim keamanan, akses alternatif dapat tetap tersedia.

Karena itu, organisasi sebaiknya tidak hanya memblokir malware tradisional, tetapi juga memantau penggunaan remote management tools, deployment agent, PowerShell, dan software remote access yang muncul tanpa alasan bisnis yang jelas.

Sumber: Huntress, Faronics