Плагин RMM+ для ScreenConnect: взломаны 288 ПК за 90 минут

На машины попал набор из 16 файлов под названием SCKit. Он ставит отдельный клиент ScreenConnect, чтобы доступ сохранялся, даже если законное подключение закроют. Есть и код, который должен заражать IT-специалистов и других клиентов, которых они обслуживают. По версии Huntress, часть кода на C# написала языковая модель: комментарии в нём необычно подробные.

В чём уязвимость RMM+?

RMM+ позволяет другим инструментам управления отдавать команды через ScreenConnect без консоли техника. В версиях 1.0.31 и 1.0.32 есть ошибка: установки без настроенного ключа доступа принимают пустой ключ. Поскольку RMM+ работает отдельно от обычных учётных записей и проверки подлинности ScreenConnect, злоумышленник может выполнять команды, не обходя MFA. Huntress видела, как команды доходили до машин без соответствующих входов в систему. Атаки затронули ScreenConnect версий 26.6.6.9747 и 26.7.6.9783, так что последние релизы не гарантировали защиты.

Что сделала ConnectWise?

Компания отключила пять расширений, включая RMM+, RMM Plus и Labtech Plus, везде, где может сделать это удалённо. Она нашла около 400 установок хотя бы с одним расширением семейства RMM+, но подчёркивает: это не значит, что все они взломаны. Тех, кто держит собственные серверы, просят сделать то же самое. По данным ConnectWise, следов взлома её инфраструктуры и уязвимости в самом ScreenConnect нет.

У вредоноса есть и ловушка для техника: если тот подключится через ScreenConnect, программа попытается перенести заразу на его рабочую станцию, украсть cookie аутентификации и заразить другие машины. Huntress пока не видела, чтобы это сработало. Обе компании советуют не проверять подозрительные машины через ScreenConnect, а использовать другие средства, искать посторонние клиенты и смотреть, какие команды выполнялись. Остатки вредоноса нужно удалить: часть машин заражалась снова через несколько минут после выхода из изоляции. Одного отключения плагинов и сброса паролей может не хватить.