ScreenConnect RMM+ eklentisi açığı 288 bilgisayarı vurdu

Makinelere 16 dosyalık SCKit adlı bir araç seti yüklendi. Meşru bağlantı kapatılsa bile erişimi sürdürmek için ayrı bir ScreenConnect istemcisi kuruyor. BT teknisyenlerine ve onların yönettiği diğer müşterilere bulaşmayı hedefleyen kod da içeriyor. Huntress, C# kodunun bir kısmının büyük dil modeliyle yazıldığını düşünüyor, çünkü yorum satırları alışılmadık derecede ayrıntılı.

RMM+ açığı tam olarak ne?

RMM+, diğer yönetim araçlarının teknisyen konsoluna ihtiyaç duymadan ScreenConnect üzerinden komut vermesini sağlayan bir üçüncü taraf eklenti. 1.0.31 ve 1.0.32 sürümlerinde erişim anahtarı yapılandırılmamış kurulumlar boş anahtarı kabul ediyor. RMM+ ScreenConnect'in normal hesaplarından ve kimlik doğrulamasından bağımsız çalıştığı için saldırgan MFA'yı aşmadan komut çalıştırabilir. Huntress, ilgili girişi olmadığı halde komutların makinelere ulaştığını gördü. Saldırılar ScreenConnect 26.6.6.9747 ve 26.7.6.9783 sürümlerini de etkiledi; yani en yeni sürümü kullanmak yeterli değildi.

ConnectWise ne yaptı?

Şirket, RMM+, RMM Plus ve Labtech Plus dahil beş eklentiyi uzaktan yapabildiği her yerde devre dışı bıraktı. RMM+ ailesinden en az bir eklenti içeren yaklaşık 400 kurulum tespit etti, ancak bunların hepsinin ele geçirildiği anlamına gelmediğini vurguluyor. Kendi sunucusunu işleten müşterilerden de aynısını yapmalarını istedi. ConnectWise'a göre altyapısının ihlal edildiğine ya da ScreenConnect'in kendisinde açık olduğuna dair kanıt yok.

Zararlı yazılımda teknisyene kurulmuş bir tuzak da var: teknisyen ScreenConnect ile bağlanırsa araç, kendi iş istasyonuna zararlı kod aktarmaya, kimlik doğrulama çerezlerini çalmaya ve başka makinelere bulaşmaya çalışıyor. Huntress bunun başarılı olduğunu görmedi. İki şirket de şüpheli makineleri ScreenConnect üzerinden incelememeyi, bunun yerine başka güvenlik araçları kullanmayı öneriyor. Kalan zararlı yazılım da temizlenmeli; bazı makineler izolasyondan çıkarıldıktan dakikalar sonra yeniden enfekte oldu. Eklentileri kapatmak ve parolaları sıfırlamak tek başına yetmeyebilir.