Die Intelligence-Teams von Microsoft haben in Zusammenarbeit mit ConnectWise eine aktive Cyberangriffskampagne aufgedeckt, die auf Server und Konten der Fernunterstützungsplattform ConnectWise ScreenConnect abzielt. Die Kampagne nutzt die Anwendung, die eigentlich ein legitimes Fernwartungstool ist, aus, um unbefugte Zugriffs-Clients zu installieren und einen fortschrittlichen bösartigen Software-Wurm namens SCKit auf den Endgeräten der Kunden zu verbreiten.
Die Angriffskette beginnt über die Cloud- oder On-Premise-Server der ScreenConnect-Plattform, wobei der Zugriffs-Client ausgenutzt wird, um einen Steuerungs- und Kommunikationskanal zu eröffnen, der von der autorisierten Infrastruktur der Managed Service Provider (MSPs) getrennt ist. Der bösartige Wurm verbreitet zusätzliche Softwarekomponenten wie PowerShell-Entschlüsselungsdateien und Automatisierungskarten sowie das Tool RelayTrap, das speziell darauf ausgelegt ist, die Workstations von Support-Technikern anzugreifen, wenn diese sich verbinden, um betroffenen Benutzern zu helfen.
Was bedeutet der SCKit-Angriff in der Praxis?
Die Gefahr dieser Kampagne liegt in ihrer Fähigkeit, die Richtung herkömmlicher Angriffe umzukehren. Anstatt dass sich Hacker lediglich auf das Eindringen in Kunden-Endgeräte beschränken, nutzt der SCKit-Wurm aktive Support- und Authentifizierungssitzungen von Technikern aus, um auf deren Workstations zuzugreifen. Sobald das Gerät des Technikers unter Kontrolle ist, können die Angreifer administrative Konsolen verwenden, um bösartige Payloads auf weitere verwaltete Geräte zu verteilen und Browser-Sitzungsdaten sowie sensible Cookies zu extrahieren.
Technische Analysen haben gezeigt, dass die Hacker auf komplexe Techniken zur Entschlüsselung von Datenpaketen unter Verwendung von Gerätekennungen (MachineGuid) und verschlüsselten Schlüsseln über Algorithmen wie AES und PBKDF2 setzen. Zudem erstellen sie geplante Aufgaben und Registrierungsschlüssel im Betriebssystem, um einen dauerhaften und stabilen Zugriff auch nach dem Trennen der ursprünglichen Verbindungen zu gewährleisten.
Präventivmaßnahmen und Richtlinien zur Risikominderung
Sicherheitsbehörden betonten die Notwendigkeit, die Server- und Client-Aspekte der Plattform getrennt zu behandeln, da das Entfernen eines unbefugten Clients allein nicht die Entfernung von Persistenzdateien oder die Annullierung gefährdeter Web-Sitzungen garantiert. Zu den wichtigsten Schritten der technischen Behebung und Untersuchung gehören:
- Deaktivierung betroffener Software-Erweiterungen im Zusammenhang mit Sicherheitslücken und Befolgung der offiziellen Herstelleranweisungen.
- Aktualisierung der ScreenConnect-Clients auf den Techniker-Workstations auf sichere Versionen, da die Aktualisierung der Cloud-Konsole lokale Clients nicht automatisch aktualisiert.
- Untersuchung von Geräten über unabhängige Kanäle wie das Live-Response-Tool in Microsoft Defender for Endpoint und kein Vertrauen auf verdächtige Plattform-Sitzungen.
- Ungültigerklärung gefährdeter Web-Sitzungen, Rotation von Anmeldedaten sowie Überprüfung von Befehlsprotokollen und verwendeten Verwaltungstools.
Microsoft stellt erweiterte Such- und Mining-Abfragen über die Defender XDR-Plattform bereit, um Unternehmen dabei zu helfen, Kompromittierungsindikatoren (IoCs) im Zusammenhang mit Payload-Dateien, Kommunikationsnetzwerken und IP-Adressen, die mit der bösartigen Aktivität in Verbindung stehen, zu erkennen.