As equipes de inteligência da Microsoft, em colaboração com a ConnectWise, revelaram uma campanha ativa de ataques cibernéticos visando servidores e contas da plataforma de suporte técnico remoto ConnectWise ScreenConnect. A campanha baseia-se na exploração do aplicativo, que é uma ferramenta legítima de suporte remoto, para instalar clientes de acesso não autorizados e disseminar um worm malicioso avançado conhecido como SCKit nos dispositivos finais dos clientes.
A cadeia de ataque começa através dos servidores em nuvem ou locais da plataforma ScreenConnect, onde o cliente de acesso é explorado para iniciar um canal de controle e comunicação separado da infraestrutura autorizada dos provedores de serviços gerenciados (MSPs). O worm malicioso distribui componentes de software adicionais, como arquivos de descriptografia em PowerShell e cartões de automação, além de implantar a ferramenta RelayTrap, projetada para visar as estações de trabalho dos técnicos de suporte técnico quando eles se conectam para prestar assistência aos usuários afetados.
O que o ataque SCKit representa na prática?
O perigo desta campanha reside na sua capacidade de inverter a direção do ataque tradicional; em vez de os hackers se limitarem a comprometer os dispositivos finais dos clientes, o worm SCKit explora as sessões de suporte e autenticação ativas dos técnicos para aceder às suas estações de trabalho. Uma vez que o dispositivo do técnico é controlado, os atacantes podem utilizar as consolas de gestão administrativa para distribuir cargas maliciosas para dispositivos geridos adicionais e extrair dados de sessões de navegador e cookies sensíveis.
Análises técnicas mostraram que os hackers dependem de técnicas complexas para descriptografar pacotes de dados usando identificadores de dispositivos (MachineGuid) e chaves criptografadas através de algoritmos como AES e PBKDF2, além de criar tarefas agendadas e chaves de registro do sistema operacional para garantir a persistência e a continuidade do acesso, mesmo após a interrupção das conexões iniciais.
Medidas preventivas e diretrizes de mitigação de riscos
As autoridades de segurança enfatizaram a necessidade de tratar os aspectos de servidor e de cliente da plataforma separadamente, dado que a remoção de um cliente não autorizado não garante, por si só, a remoção de arquivos de persistência ou o cancelamento de sessões web comprometidas. As principais etapas de remediação e investigação técnica incluem:
- Desativar extensões de software afetadas relacionadas a incidentes de vulnerabilidade e seguir as diretrizes oficiais do fornecedor.
- Atualizar os clientes ScreenConnect nas estações dos técnicos para versões seguras, uma vez que a atualização do console em nuvem não atualiza automaticamente os clientes locais.
- Investigar dispositivos através de canais independentes, como a ferramenta de resposta ao vivo no Microsoft Defender for Endpoint, e não confiar em sessões de plataforma suspeitas.
- Revogar sessões web comprometidas, rotacionar credenciais e verificar logs de comandos e ferramentas de gestão utilizadas.
A Microsoft fornece consultas avançadas de busca e exploração através da plataforma Defender XDR para ajudar as organizações a detectar indicadores de comprometimento relacionados a arquivos de carga, redes de comunicação e endereços IP associados à atividade maliciosa.