Хакеры взломали системы удалённого управления IT-подрядчиков и получили доступ к компьютерам десятков компаний. За полтора часа атака через ScreenConnect затронула 288 устройств в 48 организациях. Разработчик экстренно отключил подозрительные расширения у 400 партнёров.
Атаку обнаружили 11 ноября специалисты Huntress. Злоумышленники проникли в облачные панели ScreenConnect, через которые поставщики управляемых IT-услуг (MSP) обслуживают компьютеры клиентов. Подтверждена компрометация шести MSP. Опасность заключается в том, что доступ к одному подрядчику позволяет атаковать сразу множество независимых организаций.
Преступники задействовали штатную функцию Run Command, которая позволяет администраторам выполнять команды на удалённых компьютерах. Через неё атакующие массово устанавливали собственные клиенты ScreenConnect и вредоносный комплект SCKit. Новые программы подключались к серверам злоумышленников, создавая дополнительный канал управления устройствами.
Особую опасность представляет механизм распространения SCKit. Вредонос пытается заразить компьютер специалиста техподдержки, когда тот подключается к заражённому клиентскому устройству. Затем программа рассчитывает захватить сеанс администратора и добраться до других компьютеров. Похожую атаку через ScreenConnect исследователи обнаружили ещё в сентябре.
В новом комплекте SCKit специалисты нашли 16 файлов, включая сценарии PowerShell и командные файлы Windows. Вредонос пытается похитить cookie авторизации ScreenConnect, получить доступ к панели управления и распространиться через общий набор инструментов Shared Toolbox. Однако Huntress пока не зафиксировала ни одного успешного захвата компьютера техника таким способом.
ConnectWise подтвердила инцидент и отключила пять сторонних расширений, включая Labtech Plus и несколько вариантов RMM Plus, примерно в 400 партнёрских средах. Компания подозревает связь расширений с атакой, но пока не установила первоначальный способ проникновения. Само наличие расширения не означает взлом, а его отключение не удаляет уже установленный вредонос.
В техническом разборе Huntress указаны признаки заражения, включая подозрительные клиенты ScreenConnect, задачу TrapWatch и каталог C:\ProgramData\RelayTrap. Специалисты рекомендуют проверять историю Run Command и Toolbox, изолировать заражённые машины и не подключаться к ним через ScreenConnect. Для расследования лучше использовать отдельные средства защиты.
ConnectWise советует завершить активные сеансы, сменить пароли с доверенного устройства и проверить многофакторную аутентификацию. Риск особенно серьёзен для MSP, поскольку ScreenConnect уже становился целью массовых атак. Пока специалисты не установили полный масштаб новой кампании, даже отсутствие предупреждений не гарантирует безопасности.
