ScreenConnect: Lücke im RMM+-Plugin infiziert 288 Rechner

Was ist die Sicherheitslücke im ScreenConnect-Plugin RMM+?

Huntress führte die Angriffe auf RMM+ zurück, eine Erweiterung, über die andere Verwaltungstools Befehle durch ScreenConnect schicken können, ohne dass ein Techniker die Konsole öffnet. In den Versionen 1.0.31 und 1.0.32 steckt ein Fehler: Ist kein Zugriffsschlüssel konfiguriert, akzeptieren sie einen leeren. Weil RMM+ unabhängig von den normalen Benutzerkonten und der Authentifizierung von ScreenConnect arbeitet, könnten Angreifer Befehle ausführen, ohne die Multi-Faktor-Authentifizierung zu überwinden. Huntress sah Befehle ohne passende Anmeldeaktivität.

Betroffen waren auch ScreenConnect 26.6.6.9747 und 26.7.6.9783. Wer die neueste Version nutzte, war also nicht automatisch sicher.

Die Malware heißt SCKit und besteht aus 16 Dateien. Sie installiert einen zweiten ScreenConnect-Client, damit der Zugang auch nach dem Kappen der legitimen Verbindung bleibt. Außerdem soll sie Techniker in eine Falle locken: Verbindet sich jemand zur Untersuchung, versucht sie, Schadcode auf dessen Arbeitsplatz zu übertragen und Authentifizierungs-Cookies zu stehlen. Laut Huntress hat das bisher nicht geklappt. Wegen auffallend ausführlicher Kommentare vermutet die Firma, dass ein Sprachmodell am Code mitgeschrieben hat.

Was sollten Administratoren jetzt tun?

ConnectWise fand rund 400 Installationen mit mindestens einer Erweiterung der RMM+-Familie. Das heiße nicht, dass sie kompromittiert wurden. Fünf Erweiterungen, darunter RMM+, RMM Plus und Labtech Plus, wurden aus der Ferne abgeschaltet, wo es möglich war. Wer eigene Server betreibt, soll es ebenfalls tun. Hinweise auf eine Kompromittierung der eigenen Infrastruktur oder eine Schwachstelle in ScreenConnect selbst gebe es nicht.

Beide Firmen raten davon ab, verdächtige Rechner über ScreenConnect zu untersuchen. Stattdessen sollten andere Sicherheitstools zum Einsatz kommen, unbekannte Clients und ausgeführte Befehle geprüft und Reste der Malware entfernt werden, bevor Geräte wieder online gehen. Huntress sah Rechner, die Minuten nach der Isolation erneut infiziert waren. Das Abschalten der Erweiterungen und das Zurücksetzen von Zugangsdaten reiche laut ConnectWise womöglich nicht aus.