Siber güvenlik şirketi Huntress, ConnectWise ScreenConnect platformunu kullanan onlarca müşteriye ait yüzlerce cihazı hedef alan geniş kapsamlı bir saldırı kampanyasını ortaya çıkardı. 11 Kasım'da tespit edilen saldırıda saldırganlar, yönetilen cihazlar üzerinde doğrudan komutlar yürütmek için bulut tabanlı ScreenConnect kontrol panellerine yetkisiz erişim sağladı.
Sızmanın Detayları ve Yayılma Hızı
Raporlar, kampanyanın en az 6 yönetilen hizmet sağlayıcısını (MSP) ve 48 farklı kuruluşa dağılmış 288 ana bilgisayarı etkilediğini bildirdi. Endişe verici olan ise saldırganların yüksek verimliliği; tüm hedef cihazlara (288 cihaz) sadece 90 dakika içinde sızmayı başardılar.
RMM+ Eklentisi Açığı ve SCKit Kötü Amaçlı Yazılımı
Saldırganlar, saldırılarında ScreenConnect oturumlarını yönetmek için kullanılan harici bir eklenti olan RMM+ eklentisindeki bir güvenlik açığını istismar ettiler. Sorun, yönetici tarafından yapılandırılmadığı takdirde erişim anahtarının (access key) varsayılan olarak boş bırakıldığı 1.0.31 ve 1.0.32 sürümlerinde bulunuyor; bu da saldırganların basitçe boş bir değer göndererek kimlik doğrulama sürecini atlamalarına olanak tanıyor.
Bu sızma, aşağıdaki yetenekleri sağlayan SCKit olarak bilinen bir kötü amaçlı yazılım araç setinin dağıtılmasına yol açtı:
- Arka kapılar (backdoors) aracılığıyla kalıcı erişim sağlamak.
- Oturum çerezlerini (session cookies) ele geçirmek.
- Ağ içinde kendi kendine çoğalma yeteneği.
Yazılım, bir teknisyenin enfekte olmuş cihaza bağlanmasını bekleyerek çalışır; ardından teknisyenin iş istasyonuna geçer ve erişim yetkisine sahip olduğu diğer oturumlara sızmaya çalışarak kurum içinde yanal yayılım sürecini kolaylaştırır.
Bu Haber Neden Teknik Açıdan Önemli?
Tehlike, teknik altyapıdaki en hassas araçlardan biri olan Uzaktan Yönetim (RMM) araçlarının hedef alınmasında yatıyor. Kimlik doğrulamayı atlamak için üçüncü taraf "eklentilerin" (Extensions) istismar edilmesi, yaygın bir güvenlik açığını ortaya koyuyor; bu araçlar geçici amaçlarla ekleniyor ve ardından güncellenmeden veya dikkatle izlenmeden bırakılıyor. Ayrıca saldırının hızı, saldırganların sızma tespit edilmeden önce hızlı ve geniş çaplı erişim sağlamak için varsayılan yapılandırma (Default configurations) hatalarını istismar etme yeteneğine işaret ediyor.
Yanıt ve Alınan Önlemler
Tehdide yanıt olarak ConnectWise, Labtech Plus, RMM Plus ve RMM+ dahil olmak üzere RMM+ ailesinden beş eklentiyi yaklaşık 400 çalışma ortamında devre dışı bıraktı. Ayrıca, etkilenen şirketlere acil bir önlem olarak yerinde kurulumlarda (on-premises) bu eklentileri devre dışı bırakmaları tavsiye edildi.