Huntress сообщает, что в рамках новой кампании злоумышленники скомпрометировали сотни конечных устройств у десятков клиентов ConnectWise, воспользовавшись уязвимостью в легитимном расширении, чтобы обойти аутентификацию ScreenConnect. Атаки были зафиксированы 11 ноября, когда хакеры, используя несанкционированный доступ к облачным панелям ScreenConnect, выполнили команды на управляемых конечных устройствах. По данным Huntress, в результате атаки были скомпрометированы как минимум 6 MSP-провайдеров и 288 хостов в 48 организациях. Причем злоумышленники смогли отработать все 288 скомпрометированных хостов в течение 90 минут. В результате действий злоумышленников были развернуты поддельные клиенты ScreenConnect и набор вредоносных инструментов под названием SCKit, который обеспечивает постоянный доступ через бэкдор, перехватывает сессионные cookie-файлы и способен к самовоспроизведению. Первоначально развертываемая через панели ScreenConnect, вредоносная ПО ожидает подключения технического специалиста к скомпрометированному устройству, чтобы заразить его рабочую станцию. Затем пытается скомпрометировать другие сеансы, к которым он имеет доступ, и распространяется на другие панели. Однако не весь функционал были обнаружены в ходе наблюдаемых инцидентов: часть артефактов удалось выявить в результате анализа полезной нагрузки. В ходе атак хакеры использовали уязвимость в RMM+, стороннем расширении для управления сессиями ScreenConnect, которое использует общий ключ доступа для обхода механизма аутентификации ScreenConnect. Вероятно, хакеры воспользовались ошибкой в версиях расширения 1.0.31 и 1.0.32, где ключ доступа по умолчанию пуст, если он не настроен, что позволяет злоумышленнику обойти аутентификацию с помощью пустого значения. Huntress отметила, что в ходе расследования было установлено, что команды достигали конечных точек в течение нескольких минут. Однако соответствующей активности при входе в систему не наблюдалось, а проанализированные журналы были связаны с RMM+. В ответ на это компания ConnectWise отключила пять расширений из семейства RMM+ примерно в 400 средах ScreenConnect, включая Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link и RMM+ Password Link. В компании отметили, что само их присутствие не является основанием для компрометации. Эти расширения предоставляют API, способный выполнять удаленные команды. Доступ к этому API защищен парольной фразой, настроенной партнером во время установки. Huntress и ConnectWise представили IOCs, связанные с этой кампанией, рекомендуя организациям отключить расширения в своих локальных развертываниях ScreenConnect.