האקרים פורסים נוזקה בקמפיין חדש נגד ScreenConnect

ההתקפות נצפו ב־11 בנובמבר, כאשר ההאקרים ניצלו גישה לא מורשית ללוחות בקרה של ScreenConnect המתארחים בענן כדי להריץ פקודות על נקודות קצה מנוהלות. Huntress מדווחת כי הקמפיין פגע בלפחות 6 MSPs וב־288 מארחים ב־48 ארגונים, וכי התוקפים פגעו בכל 288 המארחים שנפגעו בתוך 90 דקות. הפקודות פרסו לקוחות ScreenConnect זדוניים וערכת נוזקות בשם SCKit, המספקת גישה עקבית דרך דלת אחורית, מיירטת עוגיות סשן ויכולה לשכפל את עצמה.

ההאקרים ניצלו ככל הנראה באג ב־RMM+, תוסף של צד שלישי לניהול סשנים של ScreenConnect, המשתמש במפתח גישה משותף כדי לעקוף את האימות של ScreenConnect. לפי Huntress, גרסאות 1.0.31 ו־1.0.32 של התוסף קיבלו מפתח גישה ריק כאשר מנהל מערכת מעולם לא הגדיר מפתח. ConnectWise השביתה חמישה תוספים ממשפחת RMM+ בכ־400 סביבות ScreenConnect. Huntress ו־ConnectWise פרסמו אינדיקטורים לפגיעה וממליצות לארגונים להשבית את התוספים בהטמעות ScreenConnect המקומיות שלהם.

למה זה חשוב ארגונים שמריצים ScreenConnect עם תוספים של צד שלישי צריכים לבדוק אם RMM+ או תוספים קשורים מותקנים, והאם גרסאות 1.0.31 או 1.0.32 הופעלו אי פעם עם מפתח גישה שלא הוגדר. מכיוון שהקמפיין הגיע ללקוחות רבים של ספקי שירות מנוהלים בתוך חלון זמן קצר, כדאי שחוקרים יבדקו לוחות בקרה של ScreenConnect, לקוחות זדוניים וסשנים של טכנאים מול האינדיקטורים לפגיעה שפורסמו, ויתייחסו לעמדת העבודה של טכנאי כחשופה פוטנציאלית אם התחברה לנקודת קצה שנפגעה.