Útok přes doplněk RMM+ zasáhl 288 počítačů se ScreenConnect

Útočníci šířili škodlivý software přes doplněk RMM+ pro nástroj vzdálené podpory ConnectWise ScreenConnect. Během 90 minut zasáhli nejméně 288 počítačů ve 48 organizacích.

ScreenConnect od ConnectWise umožňuje externí IT podpoře vzdáleně ovládat a spravovat firemní počítače. Bezpečnostní firma Huntress zaznamenala útok u šesti poskytovatelů externí správy IT. Přibližně třetina zařízení byla napadena během prvních deseti minut.

Útočníci nasadili škodlivý software SCKit. Ten do počítače přidá další klientskou aplikaci ScreenConnect. Vzdálený přístup útočníků tak může zůstat aktivní i po vypnutí původního spojení.

SCKit se také pokouší napadnout počítač technika, který se připojí kvůli vyšetřování incidentu. Může odcizit jeho přihlašovací údaje a využít jeho oprávnění k dalším útokům. Huntress zatím nepotvrdila, že se útočníkům tento způsob šíření podařil.

Vyšetřovatelé spojili útok s možnou chybou ve verzích 1.0.31 a 1.0.32 doplňku RMM+. Pokud správce nenastavil přístupový klíč, doplněk přijal jako platný klíč i prázdnou hodnotu. RMM+ navíc používá vlastní ověřování mimo běžné uživatelské účty ScreenConnect. Útočník proto mohl zadávat příkazy, aniž překonal vícefaktorové ověření.

ConnectWise našel některý z doplňků řady RMM+ přibližně ve 400 prostředích a pět doplňků z této řady vypnul. To neznamená, že útočníci napadli všech 400 prostředí. Firma také nepotvrdila, že chyba v doplňku byla původní cestou útočníků. Zasaženy byly i aktuální verze ScreenConnect.

Samotná aktualizace ScreenConnect ani vypnutí doplňku nemusí odstranit cizí klientskou aplikaci nebo ukončit vzdálený přístup útočníků. Při vyšetřování je proto potřeba prověřit také doplňky a jejich vlastní přihlašování. Zásah by neměl probíhat přes napadený nástroj.