Eine kompromittierte Konsole für den Remote-Support kann Angreifern einen Weg zu den Geräten mehrerer Kunden eröffnen – und unbefugten Zugriff hinterlassen, nachdem die Konsole abgesichert wurde.
Huntress untersucht Angriffe, bei denen über cloudbasierte ConnectWise-ScreenConnect-Panels manipulierte Clients für den Fernzugriff und ein Toolkit namens SCKit installiert wurden. Nach Aktivitäten, die am 11. November entdeckt wurden, meldete das Unternehmen mindestens 288 betroffene Endpunkte bei 48 Organisationen aus seiner Kundenbasis.
Für Managed Service Provider (MSPs) geht die unmittelbare Aufgabe über die Absicherung von Administratorkonten hinaus: Die Endpunkte der Kunden müssen untersucht werden, und Techniker sollten interaktive ScreenConnect-Sitzungen mit mutmaßlich infizierten Geräten vermeiden.
Angreifer setzten Befehle für den Remote-Support ein, um manipulierte Clients zu verteilen
In ihrer technischen Analyse erklärte Huntress, dass ein Angreifer die Funktion „Run Command“ von ScreenConnect nutzte, um Befehle mit SYSTEM-Rechten an mehrere Endpunkte zu senden. Alle 288 beobachteten Hosts waren innerhalb von 90 Minuten betroffen, etwa ein Drittel davon bereits innerhalb der ersten 10 Minuten.
Die Befehle installierten von den Angreifern kontrollierte ScreenConnect-Clients und SCKit. Die Forscher identifizierten außerdem eine geplante Aufgabe namens TrapWatch sowie ein Toolkit-Verzeichnis unter C:\ProgramData\RelayTrap\.
Huntress fand Code, der sich von einem infizierten Endpunkt auf den Arbeitsplatz eines Technikers und anschließend auf weitere Endpunkte ausbreiten sollte, die über die ScreenConnect-Sitzung des Technikers erreichbar waren. Es wurde jedoch kein erfolgreicher Sprung dieser Art beobachtet; die Versuche, die Konsole zu übernehmen, scheiterten in jedem wiederhergestellten Host-Protokoll, das untersucht wurde.
Diese Unterscheidung ist wichtig: Die Verteilung auf Kundenendpunkte wurde beobachtet, eine erfolgreiche automatische Ausbreitung über Techniker jedoch nicht nachgewiesen.
Der Missbrauch legitimer Software für den Fernzugriff zeigte sich auch in einer gefälschten Clawdbot-VS-Code-Erweiterung. Ähnliche Phishing-Angriffe im Namen von DocuSign lieferten Windows- und macOS-Nutzern legitime Tools für die Fernverwaltung. Ein vertrauter Produktname beweist nicht, dass eine Installation autorisiert ist.
ConnectWise deaktiviert fünf Erweiterungen von Drittanbietern
Das von ConnectWise am 12. November veröffentlichte Update besagte, dass die erste Einschätzung auf einen möglichen Missbrauch unabhängiger Erweiterungen von Drittanbietern hindeutete. Die Methode des Erstzugriffs und das vollständige Ausmaß blieben Gegenstand der Untersuchung. Das Unternehmen meldete keine Hinweise auf eine kompromittierte ConnectWise-Infrastruktur oder eine Schwachstelle in ScreenConnect selbst.
Die fünf Erweiterungen, deren vorsorgliche Deaktivierung identifiziert wurde, sind:
- Labtech Plus
- RMM Plus
- RMM+
- RMM Plus Password Link
- RMM+ Password Link
ConnectWise identifizierte rund 400 Partnerumgebungen mit mindestens einer der aufgeführten Erweiterungen und deaktivierte die Erweiterungen überall dort, wo das Unternehmen tätig werden konnte. On-Premises-Partner müssen sie selbst deaktivieren und sollten sie bis zu weiteren Anweisungen weder neu installieren noch wieder aktivieren.
Das Unternehmen erklärte, die Erweiterungen stellten eine durch eine vom Partner konfigurierte Passphrase geschützte API für Remote-Befehle bereit. Die Ermittler haben nicht bestätigt, ob diese API den Zugangspunkt bildete. In den rund 400 Umgebungen waren die Erweiterungen vorhanden; eine Kompromittierung wurde jedoch nicht für alle bestätigt. Diese Umgebungen sollten getrennt von den von Huntress betroffenen Endpunkten und Organisationen gezählt werden.
Endpunkte vor der Wiederherstellung des Fernzugriffs untersuchen
Die von Huntress bereitgestellten Anweisungen zur Reaktion auf den Vorfall warnen betroffene Kunden davor, sich über irgendeine ScreenConnect-Instanz mit infizierten Hosts zu verbinden, auch nicht über eine neue oder Testinstanz. Die Isolierung blockiert den Zugriff der Angreifer, entfernt das Toolkit jedoch nicht.
Huntress empfiehlt, die Live-Reaktion von Endpoint Detection and Response (EDR) oder ein anderes Out-of-Band-Befehlszeilentool zur Untersuchung zu verwenden. Auch die Arbeitsplätze von Technikern, die mit mutmaßlich infizierten Hosts verbunden waren, sollten überprüft werden.
Für die Einsatzteams sollte sich die Arbeit auf drei Bereiche erstrecken:
Bereich | Was zu ermitteln ist |
|---|---|
| Managementzugriff | Welche Konten, Sitzungen und Befehle beteiligt waren und welche Kundensysteme sie erreichen konnten. |
| Kundenendpunkte | Ob nach der Eindämmung weitere Clients für den Fernzugriff oder Persistenzmechanismen vorhanden sind. |
| Arbeitsplätze der Techniker | Ob Mitarbeitende mit mutmaßlich infizierten Geräten verbunden waren und ob ihre Systeme oder Sitzungen möglicherweise offengelegt wurden. |
ConnectWise empfiehlt, separate Sicherheitstools zu verwenden, Protokolle zu sichern, ScreenConnect-Sitzungen und zugehörige Sitzungen beim Identitätsanbieter zu widerrufen, Zugangsdaten von einem vertrauenswürdigen Gerät aus zurückzusetzen und eine Multifaktor-Authentifizierung durchzusetzen.
Die Untersuchung sollte sowohl auf Management-Datensätzen als auch auf Endpunktdaten basieren. Der Verlauf von „Run Command“ kann helfen, das Zeitfenster der Verteilung zu ermitteln; Telemetriedaten der Endpunkte können zeigen, welche Installationen darauf folgten. Vergleichen Sie diese Ergebnisse mit genehmigten Wartungsarbeiten, statt jeden ScreenConnect-Dienst als schädlich einzustufen.
Der umfassendere Missbrauch von RMM-Tools bei Phishing-Kampagnen unterstreicht, wie wichtig es ist, genehmigte Produkte für den Fernzugriff und deren Verantwortliche zu dokumentieren. Bei diesem Vorfall bietet dieses Inventar den Einsatzteams eine Grundlage, um unerwartete Clients zu identifizieren.
Unternehmen, die einen MSP nutzen, sollten eine klare Aufstellung darüber anfordern, welche Managementumgebungen überprüft wurden, ob ihre Geräte unbefugte Software erhalten haben und wie der Anbieter die Bereinigung validiert hat. Die Bestätigung, dass eine Erweiterung deaktiviert wurde, beantwortet nur einen Teil dieser Fragen.
Vor der Wiederherstellung des regulären Supports sollte dokumentiert werden, wer die erneute Verbindung genehmigt, und ein Nachweis dafür verlangt werden, dass:
- Relevante Protokolle und Endpunktdaten vor der Bereinigung gesichert wurden.
- Unbefugte Clients für den Fernzugriff und Persistenzmechanismen entfernt wurden.
- Potenziell offengelegte Sitzungen widerrufen und betroffene Zugangsdaten zurückgesetzt wurden.
- Nachkontrollen keine erneute Infektion festgestellt haben.
Das Zurücksetzen von Passwörtern, die Deaktivierung von Erweiterungen und die Bereinigung der Endpunkte beheben unterschiedliche Teile des Eindringens. Überwachen Sie weiterhin sowohl die Managementaktivitäten als auch die Endpunkte und beachten Sie die Updates des Anbieters, während die Ermittler den Zugangsweg und das Ausmaß ermitteln.
Weiterlesen: Wie Angreifer den Diebstahl von Zugangsdaten und ScreenConnect-Installationen hinter vertrauenswürdigen Google-Links verbergen erklärt einen weiteren Weg, auf dem unbefugter Fernzugriff auf Mitarbeitergeräte gelangen kann.