سوء استفاده هکرها از نقص افزونه ScreenConnect برای انتشار بدافزار در صدها رایانه شخصی

هکرها از یک برنامه افزودنی ScreenConnect شخص ثالث برای ارسال بدافزار به حداقل 288 دستگاه در 48 سازمان استفاده کرده‌اند که باعث شد ConnectWise تعداد انگشت شماری از افزونه‌ها را در صدها محیط مشتری غیرفعال کند.

شرکت امنیتی Huntress اولین بار در روز چهارشنبه در پستی در ردیت هشدار داد و نسبت به یک کمپین فعال که نمونه‌های ScreenConnect میزبان ابری را هدف قرار می‌دهد هشدار داد. در آن زمان، مرکز عملیات امنیتی آن شش ارائه‌دهنده خدمات مدیریت‌شده (MSP) و بیش از 286 نقطه پایانی آسیب‌دیده را ردیابی می‌کرد که این تعداد همچنان در حال افزایش است.

ConnectWise ابزار پشتیبانی از راه دور محبوب ScreenConnect را در فوریه 2015 به دست آورد.

هانترس این حملات را در حدود 1747 UTC مشاهده کرد، زمانی که شخصی شروع به استفاده از ویژگی فرمان از راه دور ScreenConnect برای نصب کلاینت های سرکش بر روی ماشین هایی کرد که توسط چندین ارائه دهنده خدمات فناوری اطلاعات مدیریت می شوند. تمام 288 نقطه پایانی در 90 دقیقه به دست آمد و تقریبا یک سوم در ده دقیقه اول به خطر افتاد.

Huntress مشکوک است که MSP های بیشتری ممکن است در معرض خطر قرار گرفته باشند، زیرا به نظر می رسد مهاجمان قربانیان خود را به ترتیب شماره گذاری می کنند، با این اعداد که حملات قبلی را نشان می دهد که شناسایی نکرده بود.

مهاجمان یک ابزار بدافزار 16 فایلی به نام SCKit را مستقر کردند که یک کلاینت ScreenConnect جداگانه را برای حفظ دسترسی از راه دور حتی در صورت قطع شدن اتصال قانونی نصب می کند. همچنین حاوی کدهایی است که برای سرایت عفونت به تکنسین های فناوری اطلاعات و احتمالا سایر مشتریان تحت کنترل آنها طراحی شده است.

Huntress از آن زمان این فعالیت را به ضعف احتمالی احراز هویت در RMM+ ردیابی کرده است، یک برنامه افزودنی شخص ثالث که به ابزارهای مدیریتی دیگر اجازه می‌دهد دستورات را از طریق ScreenConnect بدون استفاده از تکنسین‌ها از کنسول آن صادر کنند.

نسخه‌های 1.0.31 و 1.0.32 برنامه افزودنی دارای نقصی هستند که به این معنی است که نصب‌های بدون کلید دسترسی پیکربندی‌شده، یک کلید خالی را می‌پذیرند. از آنجایی که RMM+ مستقل از حساب‌های کاربری عادی ScreenConnect و کنترل‌های احراز هویت عمل می‌کند، مهاجم می‌تواند به طور بالقوه دستورات را بدون شکست MFA اجرا کند.

هانترس گفت که یافته‌ها با آنچه محققین آن در طول حملات دیده‌اند مطابقت دارد و دستورات به ماشین‌ها در چندین نصب ScreenConnect می‌رسد، علی‌رغم اینکه هیچ فعالیتی برای ورود به سیستم مربوطه وجود ندارد.

محققان همچنین تأیید کردند که این حملات بر نسخه‌های ScreenConnect 26.6.6.9747 و 26.7.6.9783 تأثیر گذاشته است، به این معنی که مدیرانی که آخرین نسخه‌ها را اجرا می‌کنند لزوما ایمن نیستند.

ConnectWise تصدیق کرده است که برنامه‌های افزودنی شخص ثالث ممکن است درگیر بوده باشند، اما از تأیید نحوه دسترسی مهاجمان در ابتدا کوتاهی کرده است.

در یک مشاوره امنیتی، این شرکت گفت که در حال بررسی دسترسی غیرمجاز به محیط‌های شریک خاص است و تقریبا 400 تأسیسات حاوی حداقل یک برنامه افزودنی از خانواده RMM+ را شناسایی کرده است.

پنج برنامه افزودنی شامل RMM+، RMM Plus و Labtech Plus را در هر کجا که بتواند از راه دور این کار را انجام دهد غیرفعال کرده است و از مشتریانی که سرورهای ScreenConnect خود را اجرا می کنند، خواسته است که از این روش پیروی کنند.

ConnectWise تاکید کرد که 400 محیط به این دلیل شناسایی شدند که برنامه‌های افزودنی را نصب کرده بودند، نه به این دلیل که لزوما در معرض خطر قرار گرفتند.

این شرکت گفت: "در حال حاضر، ما هیچ مدرکی دال بر به خطر انداختن زیرساخت های ConnectWise یا آسیب پذیری در خود ScreenConnect پیدا نکرده ایم."

ترفند بد دیگری در SCKit مدفون است. به گفته هانترس، این بدافزار به گونه ای طراحی شده است که کامپیوتر آلوده را به تله ای برای تکنسینی که برای بررسی آن فرستاده شده تبدیل کند. اگر تکنسین از طریق ScreenConnect متصل شود، جعبه ابزار تلاش می‌کند تا بدافزار را به ایستگاه کاری خود بازگرداند، کوکی‌های احراز هویت را بدزدد و از دسترسی آنها برای آلوده کردن سایر ماشین‌ها استفاده کند.

این می تواند به مهاجمان مسیری را از یک مشتری در معرض خطر به سمت مشتریان دیگری که توسط همان ارائه دهنده فناوری اطلاعات مدیریت می شوند، ارائه دهد. با این حال، هانترس می‌گوید که هنوز شاهد موفقیت بخشی از حمله نیست.

محققان نوشتند: "ما آن روش را برای گسترش موفقیت‌آمیز کار مشاهده نکرده‌ایم. تلاش برای تصاحب کنسول در هر گزارش میزبان بازیابی شده‌ای که تاکنون بررسی کرده‌ایم شکست خورده است."

هانترس همچنین مشکوک است که برخی از کدهای C# این بدافزار با استفاده از یک LLM تولید شده است، و به نظرات غیرعادی با جزئیات اشاره می کند که توضیح می دهد کد قرار است چه کاری انجام دهد. ظاهرا حتی نویسندگان بدافزار از کمک کمی در انجام تکالیف خود قدردانی می کنند.

هر دو Huntress و ConnectWise از مدیران می خواهند که عفونت های مشکوک را با اتصال از راه دور از طریق ScreenConnect بررسی نکنند، زیرا انجام این کار می تواند دستگاه خود تکنسین را در معرض خطر قرار دهد.

به مدیران توصیه می‌شود که از ابزارهای امنیتی دیگر برای بررسی ماشین‌های آسیب‌دیده، جستجوی کلاینت‌های سرکش ScreenConnect و بررسی دستورات اجرا شده استفاده کنند. قبل از اینکه ماشین‌ها دوباره آنلاین شوند، هر بدافزار باقی مانده نیز باید حذف شود.

هانترس در Reddit هشدار داد که برخی از ماشین ها در عرض چند دقیقه پس از خارج شدن از ایزوله مجددا آلوده می شوند زیرا بدافزار به درستی حذف نشده است.

صرفا غیرفعال کردن افزونه‌های آسیب‌پذیر لزوما آسیب را نیز برطرف نمی‌کند. همانطور که ConnectWise هشدار می دهد، "غیرفعال کردن برنامه های افزودنی و بازنشانی اعتبارنامه ها به تنهایی ممکن است نرم افزارهای غیرمجاز، مکانیسم های ماندگار یا دسترسی هایی را که قبلا در نقاط پایانی ایجاد شده اند حذف نکند."

و با توجه به اینکه مهاجمان می‌توانند نرم‌افزار دسترسی از راه دور خود را نصب کنند، بیرون انداختن آنها می‌تواند بسیار سخت‌تر از بستن دری باشد که از آن وارد شده‌اند. ®