Компания по кибербезопасности Huntress раскрыла масштабную атаку, направленную на сотни устройств, принадлежащих десяткам клиентов, использующих платформу ConnectWise ScreenConnect. Атака была зафиксирована 11 ноября, когда злоумышленники получили несанкционированный доступ к облачным панелям управления ScreenConnect для выполнения программных команд непосредственно на управляемых устройствах.
Детали взлома и скорость распространения
Согласно отчетам, кампания затронула как минимум 6 поставщиков управляемых услуг (MSP) и 288 хостов, распределенных по 48 различным организациям. Вызывает беспокойство высокая эффективность злоумышленников: им удалось взломать все целевые устройства (288 устройств) всего за 90 минут.
Уязвимость плагина RMM+ и вредоносное ПО SCKit
В своей атаке злоумышленники полагались на эксплуатацию уязвимости в плагине RMM+, который является сторонним расширением, используемым для управления сессиями ScreenConnect. Проблема заключается в версиях 1.0.31 и 1.0.32, где ключ доступа (access key) по умолчанию оставался пустым, если администратор не настроил его, что позволяло злоумышленникам обойти процесс аутентификации, просто отправив пустое значение.
Этот взлом привел к развертыванию набора вредоносных инструментов, известных как SCKit, которые предоставляют следующие возможности:
- Обеспечение постоянного доступа через бэкдоры (backdoors).
- Перехват файлов cookie сессий (session cookies).
- Способность к самораспространению внутри сети.
Вредоносное ПО работает, ожидая подключения технического специалиста к зараженному устройству, после чего оно перемещается на рабочую станцию специалиста и пытается взломать другие сессии, к которым у него есть доступ, что облегчает процесс латерального распространения внутри организации.
Почему эта новость имеет техническое значение?
Опасность заключается в том, что целью являются инструменты удаленного управления (RMM), которые являются одними из самых чувствительных инструментов в технической инфраструктуре. Эксплуатация сторонних «расширений» (Extensions) для обхода аутентификации подчеркивает распространенную брешь в безопасности: эти инструменты добавляются для временных целей, а затем остаются без обновлений или тщательного мониторинга. Кроме того, скорость атаки указывает на способность злоумышленников эксплуатировать ошибки конфигурации по умолчанию (Default configurations) для быстрого и широкого доступа до обнаружения взлома.
Реагирование и принятые меры
В ответ на угрозу компания ConnectWise отключила пять плагинов семейства RMM+ примерно в 400 рабочих средах, включая Labtech Plus, RMM Plus и RMM+. Пострадавшим компаниям также было рекомендовано немедленно отключить эти плагины в локальных развертываниях (on-premises) в качестве предосторожной меры.