Angreifer missbrauchen Faronics Deploy zur Installation von ScreenConnect

Security · 1.9.2026

Cyberkriminelle nutzen das legitime Endpoint-Management-Tool Faronics Deploy, um unbefugten Fernzugriff auf Unternehmensnetzwerke zu erlangen und Schadsoftware einzuschleusen.

Sicherheitsforscher warnen vor einer neuen Phishing-Kampagne, bei der Angreifer die legitime Endpoint-Management-Plattform Faronics Deploy missbrauchen. Über manipulierte E-Mails oder kompromittierte Zugangsdaten gelingt es den Akteuren, administrative Kontrolle über Zielrechner zu erlangen. Im Anschluss installieren sie die Fernwartungssoftware ScreenConnect (ConnectWise Control), um dauerhaften und unbemerktem Zugriff auf die betroffenen Systeme zu etablieren.

Warum ist das wichtig?

Für IT-Verantwortliche und Administratoren im DACH-Raum stellt dieser Angriffsvektor eine erhebliche Bedrohung dar. Da sowohl Faronics Deploy als auch ScreenConnect legitime, signierte Administrationswerkzeuge sind, schlagen herkömmliche Antiviren-Lösungen bei deren Ausführung oft keinen Alarm. Diese Methode des "Living off the Land" erschwert die Erkennung von Einbrüchen massiv. Angreifer können sich so unbemerkt im Netzwerk bewegen, sensible Daten abziehen oder Ransomware-Angriffe vorbereiten. Besonders kritisch ist dies für mittelständische Unternehmen, die oft auf externe IT-Dienstleister und solche Tools setzen.

Was IT-Verantwortliche jetzt tun sollten

Um die Infrastruktur vor derartigen Missbrauchsversuchen zu schützen, sollten Administratoren umgehend folgende Sicherheitsmaßnahmen ergreifen:

• Multi-Faktor-Authentisierung (MFA): Erzwingen Sie MFA für alle Konten im Endpoint-Management-Tool Faronics Deploy sowie für alle Fernwartungszugänge, um unbefugte Logins zu verhindern.
• Protokollanalyse und Monitoring: Überwachen Sie die Protokolle auf ungewöhnliche Aktivitäten, wie etwa Anmeldungen zu unüblichen Zeiten oder von unbekannten IP-Adressen aus.
• Anwendungssteuerung (Application Whitelisting): Implementieren Sie Richtlinien, die die Ausführung nicht autorisierter Fernwartungstools wie ScreenConnect auf Client-Rechnern blockieren, sofern diese nicht explizit für den Betrieb benötigt werden.
• Mitarbeiter sensibilisieren: Schulen Sie Ihr Team kontinuierlich bezüglich Phishing-Mails, die oft als vermeintliche Systembenachrichtigungen oder Rechnungen getarnt sind.

Fazit

Der Missbrauch legitimer Administrationswerkzeuge verdeutlicht, dass reine Signaturprüfungen im modernen IT-Sicherheitskonzept nicht mehr ausreichen. Nur durch eine Kombination aus striktem Identitätsmanagement, kontinuierlicher Verhaltensüberwachung und restriktiven Berechtigungskonzepten lässt sich das Risiko solcher Angriffe effektiv minimieren.

Quelle: BleepingComputer