A empresa de cibersegurança Huntress revelou uma ampla campanha de ataque que visou centenas de dispositivos pertencentes a dezenas de clientes que utilizam a plataforma ConnectWise ScreenConnect. O ataque foi detectado em 11 de novembro, onde os atacantes exploraram o acesso não autorizado a painéis de controle da ScreenConnect hospedados na nuvem para executar comandos de software diretamente nos dispositivos gerenciados.
Detalhes da invasão e velocidade de propagação
Relatórios indicam que a campanha afetou pelo menos 6 provedores de serviços gerenciados (MSPs) e 288 hosts distribuídos em 48 organizações diferentes. O que é preocupante é a alta eficiência dos atacantes, que conseguiram comprometer todos os dispositivos visados (288 dispositivos) em apenas 90 minutos.
Vulnerabilidade no plugin RMM+ e o malware SCKit
Os atacantes basearam seu ataque na exploração de uma vulnerabilidade de segurança no plugin RMM+, um plugin externo usado para gerenciar sessões do ScreenConnect. O problema reside nas versões 1.0.31 e 1.0.32, onde a chave de acesso (access key) era deixada vazia por padrão se o administrador não a configurasse, permitindo que os atacantes contornassem o processo de autenticação simplesmente enviando um valor vazio.
Esta invasão levou à implantação de um conjunto de ferramentas de malware conhecido como SCKit, que oferece as seguintes capacidades:
- Fornecer acesso persistente através de backdoors.
- Interceptar cookies de sessão (session cookies).
- Capacidade de autorreplicação dentro da rede.
O malware funciona aguardando a conexão de um técnico ao dispositivo infectado, para então se mover para a estação de trabalho do técnico e tentar comprometer outras sessões às quais ele tem acesso, facilitando o processo de propagação lateral dentro da organização.
Por que esta notícia é tecnicamente importante?
O perigo reside no alvo de ferramentas de Gerenciamento Remoto (RMM), que são algumas das ferramentas mais sensíveis na infraestrutura técnica. A exploração de "extensões" (Extensions) de terceiros para contornar a autenticação destaca uma lacuna de segurança comum; essas ferramentas são adicionadas para fins temporários e depois deixadas sem atualização ou monitoramento rigoroso. Além disso, a velocidade do ataque indica a capacidade dos atacantes de explorar configurações padrão (Default configurations) para obter acesso rápido e amplo antes da detecção da invasão.
Resposta e medidas tomadas
Em resposta à ameaça, a ConnectWise desativou cinco plugins da família RMM+ em cerca de 400 ambientes de trabalho, incluindo Labtech Plus, RMM Plus e RMM+. As empresas afetadas também foram aconselhadas a desativar esses plugins em implantações locais (on-premises) como uma medida de precaução imediata.