'Tientallen organisaties gehackt via ScreenConnect-aanval'

In dit artikel:

Bij een aanval via de beheersoftware ScreenConnect zijn 288 computers van 48 organisaties besmet geraakt. De aanvallers installeerden via in de cloud gehoste ScreenConnect-omgevingen kwaadaardige clients en de toolkit SCKit, waarmee ze verdere aanvallen konden uitvoeren. ScreenConnect wordt veel gebruikt door managed serviceproviders (MSP’s) om systemen van klanten op afstand te beheren, waardoor één aanval toegang tot veel computers kan bieden.

Volgens cybersecuritybedrijf Huntress misbruikten de aanvallers waarschijnlijk een ernstige authenticatiefout in de extensie RMM+. In twee versies wordt een lege toegangssleutel geaccepteerd wanneer een beheerder die sleutel niet heeft ingesteld. Daarmee konden aanvallers de beveiliging omzeilen. De kwaadaardige client wachtte vervolgens tot een beheerder inlogde, om diens systeem en mogelijk andere beheerde apparaten aan te vallen. Voor zover bekend is dat vervolgscenario niet geslaagd.

Ontwikkelaar ConnectWise heeft daarop bij ongeveer vierhonderd partneromgevingen ScreenConnect-extensies, waaronder RMM+, uitgeschakeld. MSP’s die de software zelf hosten moeten dit ook doen. ConnectWise waarschuwt dat het uitschakelen van de extensies eerder geïnstalleerde malware niet verwijdert.