사이버 보안 기업 Huntress는 ConnectWise ScreenConnect 플랫폼을 사용하는 수십 명의 고객에게 속한 수백 대의 장치를 대상으로 한 광범위한 공격 캠페인을 공개했습니다. 이 공격은 11월 11일에 감지되었으며, 공격자들은 클라우드 기반 ScreenConnect 제어판에 대한 무단 액세스를 악용하여 관리되는 장치에서 직접 명령을 실행했습니다.
해킹 세부 정보 및 확산 속도
보고서에 따르면 이번 캠페인은 최소 6개의 관리형 서비스 제공업체(MSP)와 48개 조직에 분산된 288개의 호스트에 영향을 미쳤습니다. 우려스러운 점은 공격자들의 높은 효율성으로, 이들은 단 90분 만에 모든 대상 장치(288대)를 해킹할 수 있었습니다.
RMM+ 플러그인 취약점 및 SCKit 악성 소프트웨어
공격자들은 ScreenConnect 세션을 관리하는 데 사용되는 외부 플러그인인 RMM+의 보안 취약점을 악용하여 공격을 수행했습니다. 문제는 1.0.31 및 1.0.32 버전에서 발생하며, 관리자가 구성하지 않을 경우 액세스 키(access key)가 기본적으로 비어 있는 상태로 유지되어 공격자가 단순히 빈 값을 전송함으로써 인증 프로세스를 우회할 수 있었습니다.
이 해킹은 SCKit으로 알려진 악성 소프트웨어 도구 모음의 배포로 이어졌으며, 다음과 같은 기능을 제공합니다:
- 백도어(backdoors)를 통한 지속적인 액세스 제공.
- 세션 쿠키(session cookies) 가로채기.
- 네트워크 내 자가 복제 능력.
이 소프트웨어는 기술자가 감염된 장치에 연결하기를 기다린 다음, 기술자의 워크스테이션으로 이동하여 해당 기술자가 액세스 권한을 가진 다른 세션을 해킹하려고 시도함으로써 조직 내에서의 횡적 확산을 용이하게 합니다.
이 뉴스가 기술적으로 중요한 이유는 무엇인가?
위험성은 기술 인프라에서 가장 민감한 도구 중 하나인 원격 관리(RMM) 도구를 표적으로 삼았다는 점에 있습니다. 인증을 우회하기 위해 제3자 "확장 프로그램(Extensions)"을 악용하는 것은 흔한 보안 격차를 드러냅니다. 이러한 도구들은 일시적인 목적으로 추가된 후 업데이트나 세심한 모니터링 없이 방치되는 경우가 많기 때문입니다. 또한 공격의 속도는 공격자들이 침해 사실이 발견되기 전에 빠르고 광범위한 액세스를 위해 기본 설정(Default configurations) 오류를 악용할 수 있는 능력을 보여줍니다.
대응 및 조치 사항
위협에 대응하여 ConnectWise는 Labtech Plus, RMM Plus, RMM+를 포함하여 약 400개의 작업 환경에서 RMM+ 제품군의 5개 확장 프로그램을 비활성화했습니다. 또한 피해 기업들에게 즉각적인 예방 조치로 온프레미스(on-premises) 배포 환경에서 이러한 확장 프로그램을 비활성화할 것을 권고했습니다.