网络安全公司 Huntress 披露了一场针对使用 ConnectWise ScreenConnect 平台的数十名客户的数百台设备的广泛攻击活动。该攻击于 11 月 11 日被监测到，攻击者利用对云托管 ScreenConnect 控制面板的未经授权访问，在受管设备上直接执行代码命令。
入侵详情与传播速度
报告显示，此次攻击活动影响了至少 6 家托管服务提供商 (MSP) 以及分布在 48 个不同组织中的 288 台主机。令人担忧的是攻击者的高效率，他们在短短 90 分钟内 就成功入侵了所有目标设备（288 台设备）。
RMM+ 插件漏洞与恶意软件 SCKit
攻击者在攻击中利用了 RMM+ 插件的安全漏洞，该插件是一个用于管理 ScreenConnect 会话的外部插件。问题存在于 1.0.31 和 1.0.32 版本中，如果管理员未进行配置，访问密钥 (access key) 默认会保持为空，这使得攻击者只需通过发送空值即可绕过身份验证过程。
此次入侵导致了名为 SCKit 的恶意软件工具包的部署，它具有以下功能：
- 通过后门 (backdoors) 提供持久访问。
- 拦截会话 Cookie (session cookies)。
- 在网络内进行自我复制的能力。
该恶意软件通过等待技术人员连接到受感染设备来运行，随后转移到技术人员的工作站，并尝试入侵其拥有访问权限的其他会话，从而促进了在组织内部的横向传播。
为什么这条新闻具有技术重要性？
危险之处在于针对 远程管理 (RMM) 工具的攻击，这些工具是技术基础设施中最敏感的工具之一。利用第三方“扩展” (Extensions) 来绕过身份验证凸显了一个常见的安全漏洞：这些工具通常为了临时目的而添加，随后在没有更新或严密监控的情况下被遗留。此外，攻击的速度表明攻击者能够利用默认配置 (Default configurations) 错误，在入侵被发现之前实现快速且广泛的访问。
响应与采取的措施
为了应对这一威胁，ConnectWise 公司已在约 400 个工作环境中禁用了 RMM+ 系列中的五个插件，包括 Labtech Plus、RMM Plus 和 RMM+。此外，该公司还建议受影响的企业立即采取预防措施，在本地部署 (on-premises) 中禁用这些插件。