Honderden endpoints van ConnectWise ScreenConnect-klanten zijn besmet met malware via een kwetsbaarheid in RMM+-extensies, meldt Huntress.
Een bedreigingsactor heeft honderden endpoints bij tientallen ConnectWise ScreenConnect-klanten gecompromitteerd in een nieuwe campagne, aldus cybersecuritybedrijf Huntress. De aanvallen vonden plaats op 11 november, waarbij de hackers ongeautoriseerde toegang tot cloudgehoste ScreenConnect-panelen misbruikten om commando's uit te voeren op beheerde endpoints.
Volgens Huntress werden minimaal zes managed service providers (MSP's) en 288 hosts binnen 48 organisaties getroffen. Alle 288 gecompromitteerde hosts werden binnen 90 minuten aangevallen. De aanvallers gebruikten kwaadaardige ScreenConnect-clients en een malwaretoolkit genaamd SCKit, die permanente backdoor-toegang biedt, sessiecookies onderschept en zichzelf kan repliceren. De malware wordt via de ScreenConnect-panelen ingezet en wacht tot een technicus verbinding maakt met het geïnfecteerde endpoint om vervolgens ook diens werkstation te besmetten. Daarna probeert de malware andere sessies van de technicus te compromitteren en zich naar andere panelen te verspreiden. Huntress meldt dat niet alle functionaliteiten tijdens de incidenten zijn waargenomen, maar sommige zijn ontdekt door analyse van de payloads.
De hackers maakten gebruik van een kwetsbaarheid in RMM+, een extensie van derden voor het beheren van ScreenConnect-sessies. Deze extensie gebruikt een gedeelde toegangssleutel om de authenticatiemechanismen van ScreenConnect te omzeilen. De kwetsbaarheid zat in versies 1.0.31 en 1.0.32, waarbij de toegangssleutel standaard leeg was als deze niet was geconfigureerd. Hierdoor konden aanvallers authenticatie omzeilen met een lege waarde. Huntress stelt dat de meeste RMM+-installaties legitiem waren en vaak voor een project waren toegevoegd en daarna bleven staan. De kwetsbaarheid maakte het echter mogelijk om zonder geldige sleutel toegang te krijgen.
Onderzoek van Huntress toonde aan dat commando's binnen enkele minuten de endpoints bereikten, zonder dat er bijbehorende login-activiteiten waren. De logs die werden bekeken, waren gekoppeld aan RMM+. Als reactie hierop heeft ConnectWise vijf extensies uit de RMM+-familie uitgeschakeld in ongeveer 400 ScreenConnect-omgevingen, waaronder Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link en RMM+ Password Link. Volgens ConnectWise betekent de aanwezigheid van deze extensies niet automatisch dat er een compromittering heeft plaatsgevonden. De extensies bieden een API voor het uitvoeren van externe commando's, die wordt beschermd door een door de partner ingestelde toegangscode.
Zowel Huntress als ConnectWise hebben indicatoren van compromittering (IoC's) vrijgegeven die met de campagne verband houden en adviseren organisaties om de extensies in hun on-premises ScreenConnect-omgevingen uit te schakelen.
