ScreenConnect: червь через панели RMM задел 288 хостов в 48 организациях

Что случилось

11 ноября около 17:47 UTC компания Huntress зафиксировала серию атак на управляемые рабочие станции через облачные панели ScreenConnect. Команды Run Command с этих панелей устанавливали на конечные устройства поддельные клиенты ScreenConnect — по оценке исследователей, как минимум на 288 хостов в 48 организациях. Подтверждений, что эксплуатируется новая уязвимость, нет.

ConnectWise, разработчик платформы, заявила, что не видит признаков компрометации своей инфраструктуры или дыры в самом ScreenConnect. По её версии, злоумышленник злоупотребляет сторонними расширениями, установленными у партнёров.

Детали

Пять расширений компания отключила превентивно: Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link и RMM+ Password Link. По подсчётам ConnectWise, примерно в 400 партнёрских окружениях стоит хотя бы одно из них, но само наличие расширения компрометацией не является. Расширения дают API для удалённого выполнения команд, доступ к нему закрыт паролем, который партнёр задаёт при установке.

Как именно получен доступ к панелям, не установлено. Телеметрия Huntress указывает на украденные учётные данные или перехваченные сессии операторов.

Схема разворачивается в два шага и ведёт себя как червь:

• на первом этапе через Run Command на хосты ставится поддельный клиент, который работает автономно от исходной панели;
• на втором этапе техник подключается к заражённой машине, вредонос уходит на его рабочую станцию, забирает сохранённые сессии браузера и токены, а оттуда расходится по всем конечным точкам, доступным его панели.

Полезная нагрузка — набор SCKit. Он приходит зашифрованным через base64-дроппер sckit-run.bat, который тянет с внешнего сервера PowerShell-скрипт sckit-decoder. Дальше набор добавляет исключения в Microsoft Defender, ставит второй клиент ScreenConnect под контролем атакующих, создаёт задачу планировщика TrapWatch и подменяет легитимную установку своей копией. Часть скриптов, судя по подробным комментариям в коде, сгенерирована языковой моделью.

Есть и ветка с закреплением в панели: перехват cookie .aspxauth с рабочей станции техника и его воспроизведение на панели. Получив токены, ToolboxRelayUploader.exe кладёт в общую папку Toolbox файл WithUninstall.ps1 и рассылает его всем доступным сессиям. Тот выполняется от SYSTEM, а примерно через минуту загрузчик удаляет элемент из Toolbox, заметая след.

Индикаторы, которые перечисляют ConnectWise и Sophos: адреса 185.99.255.28 и 155.94.150.39, домены ns.mo7sen.dev, sc.payproofkit.com, cdn007-digitaldownloads.com, newnewnew.gotdns.org, Soxnewwork.homedns.org, файлы sckit-run.bat, sckit-decoder.ps1, TrapWatch.ps1, Panel-Lateral.ps1, Run-Lateral-Full.bat, runnew.cmd и ToolboxRelayUploader.exe. Sophos связывает активность с тремя идентификаторами экземпляров: d905b2b1b165d0a9, 4b8f4089ddaac6a9 и df1f7ef0cfacd0d8.

Что это значит

Для обслуживающих компаний это худший сценарий: инструмент, которым администратор удалённо управляет парком, сам становится средством распространения. Huntress отмечает, что злоумышленник помечал взломанных провайдеров порядковыми номерами, причём наблюдаемые метки начинаются не с единицы — значит, кого-то скомпрометировали раньше.

Что делать: проверить историю Run Command даже без алертов, отключить перечисленные расширения, вычистить незнакомые клиенты ScreenConnect, сменить пароли и завершить активные сессии операторов. Признаки, на которые стоит смотреть, — входы из незнакомых мест, новые административные учётки, установка расширений и постороннего ПО удалённого доступа на машинах техников.