Honderden systemen van tientallen organisaties zijn bij een aanval die gebruikmaakte van ScreenConnect gehackt, zo stelt cybersecuritybedrijf Huntress. Naar aanleiding van de aanvallen heeft ConnectWise, de ontwikkelaar van ScreenConnect, bij vierhonderd partneromgevingen ScreenConnect-extensies uitgeschakeld. ScreenConnect is software om systemen op afstand mee te beheren en monitoren. Managed serviceproviders (MSP's) maken er gebruik van om de systemen van hun klanten te beheren. Via ScreenConnect kan dan ook vaak toegang tot een groot aantal computers worden verkregen.

Voor ScreenConnect zijn allerlei extensies beschikbaar. Huntress zag gisteren dat in korte tijd via in de cloud gehoste ScreenConnect panels malafide ScreenConnect clients op 288 beheerde endpoints van 48 verschillende organisaties werden geïnstalleerd. Via deze ScreenConnect clients hadden de aanvallers ook toegang tot de systemen van deze organisaties en installeerden een toolkit genaamd SCKit om verdere aanvallen uit te voeren.

De 288 endpoints werden al via ScreenConnect beheerd. De malafide ScreenConnect client die de aanvallers installeerden wachtte totdat een beheerder via een legitieme client op het besmette systeem inlogde. Vervolgens werd geprobeerd om het systeem van de beheerder te compromitteren en daarvandaan andere beheerde systemen te infecteren. Huntress merkt op dat voor zover bekend deze aanval niet slaagde.

Het lijkt erop dat de aanvallers gebruikmaakten van een kwetsbaarheid in een ScreenConnect-extensie genaamd RMM+. Via deze extensie kan een andere tool ScreenConnect-sessie beheren. Twee versies van deze extensie bevatten een ernstige authenticatie-kwetsbaarheid. Als een beheerder nooit de access key voor de extensie heeft ingesteld, zal RMM+ een lege key accepteren. Daardoor kan een aanvaller de authenticatie omzeilen en toegang krijgen.

Naar aanleiding van de aanvallen heeft ConnectWise bij vierhonderd omgevingen de ScreenConnect-extensies uitgeschakeld, waaronder RMM+. Managed serviceproviders die ScreenConnect zelf hosten worden opgeroepen de betreffende extensies zelf uit te schakelen. ConnectWise waarschuwt dat het uitschakelen van de betreffende extensies er niet voor zorgt dat eerder geïnstalleerde malware wordt verwijderd.