Microsoft şirketine bağlı istihbarat ekipleri, ConnectWise şirketiyle iş birliği içinde, ConnectWise ScreenConnect uzaktan teknik destek platformunun sunucularını ve hesaplarını hedef alan aktif bir siber saldırı kampanyasını ortaya çıkardı. Kampanya, meşru bir uzaktan destek aracı olan uygulamanın kötüye kullanılarak yetkisiz erişim istemcilerinin yüklenmesini ve müşterilerin uç nokta cihazlarında (SCKit) olarak bilinen gelişmiş bir kötü amaçlı yazılım solucanının yayılmasını amaçlıyor.
Saldırı zinciri, ScreenConnect platformunun bulut veya yerel sunucuları aracılığıyla başlıyor; burada erişim istemcisi, yönetilen hizmet sağlayıcılarının (MSP) onaylı altyapısından ayrı bir komuta ve kontrol kanalı kurmak için kötüye kullanılıyor. Kötü amaçlı solucan, PowerShell dilinde şifre çözme dosyaları ve otomasyon kartları gibi ek yazılım bileşenlerinin yanı sıra, etkilenen kullanıcılara yardım sunmak için bağlandıklarında destek teknisyenlerinin iş istasyonlarını hedef almak üzere özelleştirilmiş (RelayTrap) aracını da konuşlandırıyor.
SCKit Saldırısı Pratikte Ne Anlama Geliyor?
Bu kampanyanın tehlikesi, geleneksel saldırı yönünü tersine çevirme yeteneğinde yatmaktadır; korsanlar müşterilerin uç nokta cihazlarını eleleştirmekle yetinmek yerine, SCKit solucanı teknisyenlerin kendi iş istasyonlarına erişmek için aktif destek ve kimlik doğrulama oturumlarını kötüye kullanıyor. Teknisyenin cihazı kontrol altına alındığında, saldırganlar ek yönetilen cihazlara kötü amaçlı yükler dağıtmak ve tarayıcı oturumu verilerini ve hassas çerezleri çıkarmak için idari kontrol birimlerini kullanabiliyor.
Teknik analizler, korsanların makine kimlikleri (MachineGuid) ve AES ile PBKDF2 gibi algoritmalarla şifrelenmiş anahtarlar kullanarak veri paketlerinin şifresini çözmek için karmaşık teknikler kullandığını, ayrıca ilk bağlantılar kesildikten sonra bile erişimin sürekliliğini ve kalıcılığını garanti etmek için zamanlanmış görevler ve işletim sistemi kayıt defteri anahtarları oluşturduğunu gösterdi.
Önleyici Tedbirler ve Risk Azaltma Yönergeleri
Güvenlik yetkilileri, yetkisiz bir istemcinin kaldırılmasının tek başına kalıcılık dosyalarının kaldırılmasını veya tehlikeye atılan web oturumlarının iptal edilmesini garanti etmediği göz önüne alınarak, platformun sunucu ve istemci yönlerinin ayrı ayrı ele alınması gerektiğini vurguladı. En önemli düzeltme ve teknik soruşturma adımları şunları içerir:
- Güvenlik açığı olaylarıyla ilişkili etkilenen yazılım eklentilerini devre dışı bırakın ve resmi tedarikçi yönergelerini izleyin.
- Bulut konsolunun güncellenmesi yerel istemcileri otomatik olarak güncellemediğinden, teknisyen iş istasyonlarındaki ScreenConnect istemcilerini güvenli sürümlere güncelleyin.
- Microsoft Defender for Endpoint'teki canlı yanıt aracı gibi bağımsız kanallar aracılığıyla cihazları araştırın ve şüpheli platform oturumlarına güvenmeyin.
- Tehlikeye atılan web oturumlarını iptal edin, kimlik bilgilerini döndürün ve komut günlüklerini ve kullanılan yönetim araçlarını doğrulayın.
Microsoft, kuruluşların yük dosyaları, iletişim ağları ve kötü amaçlı etkinliklerle ilişkili IP adresleri ile ilişkili saldırı göstergelerini keşfetmelerine yardımcı olmak için Defender XDR platformu aracılığıyla gelişmiş arama ve avlanma sorguları sağlar.