Попытка установить службу ScreenConnect и запустить клиент удалённого доступа не удалась. Продукт управления привилегиями на конечной точке заблокировал fodhelper.exe, предназначенный для обхода UAC. Все наблюдаемые процессы работали со средним уровнем целостности в рамках стандартной учётной записи пользователя. Атака началась с фишингового письма с URL, обёрнутым в Microsoft SafeLinks и ведущим на страницу общего сообщения Yahoo Mail. Через 31 секунду после открытия страницы на хосте жертвы разрешился домен, имитирующий Управление социального обеспечения США. В папку «Загрузки» пользователя загрузили ZIP-архив с неизменёнными корректно подписанными исполняемыми файлами и DLL для CPython 3...