Das Cybersicherheitsunternehmen Huntress hat eine groß angelegte Angriffskampagne aufgedeckt, die hunderte Geräte von Dutzenden Kunden angriff, die die Plattform ConnectWise ScreenConnect nutzen. Der Angriff wurde am 11. November festgestellt, wobei Angreifer unbefugten Zugriff auf cloudbasierte ScreenConnect-Dashboards ausnutzten, um direkte Programmbefehle auf den verwalteten Geräten auszuführen.
Details des Hacks und Geschwindigkeit der Ausbreitung
Berichten zufolge betraf die Kampagne mindestens 6 Managed Service Provider (MSPs) und 288 Hosts, die auf 48 verschiedene Organisationen verteilt waren. Besorgniserregend ist die hohe Effizienz der Angreifer, da sie es schafften, alle Zielgeräte (288 Geräte) innerhalb von nur 90 Minuten zu kompromittieren.
Schwachstelle der RMM+-Erweiterung und die Malware SCKit
Die Angreifer stützten sich bei ihrem Angriff auf die Ausnutzung einer Sicherheitslücke in der Erweiterung RMM+, einer externen Erweiterung, die zur Verwaltung von ScreenConnect-Sitzungen verwendet wird. Das Problem liegt in den Versionen 1.0.31 und 1.0.32, in denen der Zugriffsschlüssel (access key) standardmäßig leer gelassen wurde, wenn der Administrator ihn nicht konfigurierte, was es den Angreifern ermöglichte, den Authentifizierungsprozess einfach durch das Senden eines leeren Wertes zu umgehen.
Dieser Hack führte zur Verbreitung eines Malware-Toolkits namens SCKit, das folgende Funktionen bietet:
- Bereitstellung eines dauerhaften Zugriffs über Backdoors.
- Abfangen von Sitzungs-Cookies (session cookies).
- Fähigkeit zur Selbstvermehrung innerhalb des Netzwerks.
Die Malware funktioniert so, dass sie darauf wartet, dass ein Techniker eine Verbindung zum infizierten Gerät herstellt, um sich dann auf die Workstation des Technikers zu übertragen und zu versuchen, andere Sitzungen zu kompromittieren, auf die er Zugriff hat, was die laterale Ausbreitung innerhalb der Organisation erleichtert.
Warum ist diese Nachricht technisch von Bedeutung?
Die Gefahr liegt in der gezielten Ansprache von Remote Management Tools (RMM), die zu den sensibelsten Werkzeugen in der technischen Infrastruktur gehören. Die Ausnutzung von Drittanbieter-"Erweiterungen" (Extensions), um die Authentifizierung zu umgehen, verdeutlicht eine häufige Sicherheitslücke; diese Tools werden oft für temporäre Zwecke hinzugefügt und dann ohne Updates oder genaue Überwachung zurückgelassen. Zudem deutet die Geschwindigkeit des Angriffs auf die Fähigkeit der Angreifer hin, Standardkonfigurationen (Default configurations) auszunutzen, um einen schnellen und weitreichenden Zugriff zu erlangen, bevor der Hack entdeckt wird.
Reaktion und ergriffene Maßnahmen
Als Reaktion auf die Bedrohung hat ConnectWise fünf Erweiterungen aus der RMM+-Familie in etwa 400 Arbeitsumgebungen deaktiviert, darunter Labtech Plus, RMM Plus und RMM+. Zudem wurden die betroffenen Unternehmen angewiesen, diese Erweiterungen in On-Premises-Installationen als sofortige Vorsichtsmaßnahme zu deaktivieren.