Aanvallers misbruiken kritieke kwetsbaarheden in ConnectWise ScreenConnect, waardoor ongeautoriseerde toegang en ransomware-installatie mogelijk zijn.
Beveiligingsonderzoekers van Mandiant melden grootschalig misbruik van een kritieke kwetsbaarheid in ConnectWise ScreenConnect, een software voor remote beheer en monitoring van systemen. De kwetsbaarheid, bekend als CVE-2024-1708, maakt het mogelijk voor een ongeauthenticeerde aanvaller om een nieuw administratoraccount aan te maken en willekeurige code uit te voeren. Daarnaast vormt ook CVE-2024-1709 een risico, met name voor het installeren van ransomware. Het Digital Trust Center heeft Nederlandse organisaties gewaarschuwd voor kwetsbare ScreenConnect-installaties en adviseert dringend om de beschikbare beveiligingsupdates zo snel mogelijk te installeren.
ScreenConnect-versies tot en met 23.9.7 zijn kwetsbaar voor deze problemen. Het Nationaal Cyber Security Centrum (NCSC) kwalificeert de kwetsbaarheid als High/High, wat betekent dat de kans op misbruik groot is en de impact ernstig kan zijn. Er is reeds een exploit beschikbaar, wat het risico op aanvallen vergroot. ConnectWise heeft inmiddels updates uitgebracht, waaronder versie 23.9.8, en werkt aan patches voor eerdere versies van 22.4 tot en met 23.9.7. Gebruikers van de cloudversie van ScreenConnect hoeven geen actie te ondernemen.
Naast het installeren van patches raadt het Digital Trust Center aan om met behulp van de door ConnectWise vrijgegeven Indicators of Compromise (IoC’s) te onderzoeken of er sporen van misbruik zijn binnen het netwerk. Organisaties die het beheer van ScreenConnect hebben uitbesteed, wordt geadviseerd om bij hun IT-dienstverlener na te vragen of de updates zijn doorgevoerd en of er onderzoek is gedaan naar mogelijke inbreuken.
