مهاجمان با سوءاستفاده از یک افزونه شخص ثالث (third-party) در ابزار ScreenConnect، موفق به انتشار بدافزار در حداقل ۲۸۸ سیستم در ۴۸ سازمان مختلف شده‌اند. این فعالیت که توسط تیم‌های امنیتی شناسایی شده، باعث شده است تا شرکت سازنده برای جلوگیری از گسترش حملات، چندین افزونه را در صدها محیط مشتری غیرفعال کند.
تحلیل‌ها نشان می‌دهد که این حمله از یک نقص امنیتی در افزونه RMM+ بهره می‌برد. نسخه‌های 1.0.31 و 1.0.32 این افزونه دارای یک آسیب‌پذیری در بخش احراز هویت (authentication) هستند که به مهاجم اجازه می‌دهد بدون داشتن کلید دسترسی (access key) و حتی با دور زدن احراز هویت چندعاملی (MFA)، دستورات خود را اجرا کند. از آنجایی که RMM+ مستقل از کنترل‌های دسترسی استاندارد ScreenConnect عمل می‌کند، این نقص امکان نفوذ بدون نیاز به رمز عبور را فراهم کرده است.
بدافزار SCKit و تکنیک‌های بقا
مهاجمان از یک مجموعه ابزار بدافزاری ۱۶ فایلی به نام SCKit استفاده می‌کنند. این بدافزار یک کلاینت مجزای ScreenConnect روی سیستم‌های هدف نصب می‌کند تا حتی در صورت قطع اتصال اصلی، دسترسی از راه دور (remote access) حفظ شود. این ابزار همچنین دارای کدهایی برای سرایت به تکنسین‌های IT و سایر مشتریان تحت مدیریت آن‌هاست.
یکی از خطرناک‌ترین جنبه‌های این حمله، طراحی بدافزار برای تبدیل سیستم‌های آلوده به یک «تله» برای تکنسین‌ها است. اگر یک تکنسین سعی کند از طریق ScreenConnect برای بررسی سیستم آلوده متصل شود، بدافزار تلاش می‌کند تا خود را به سیستم کاربری تکنسین منتقل کرده، کوکی‌های احراز هویت (authentication cookies) را سرقت کند و از طریق دسترسی تکنسین، به سیستم‌های دیگر نفوذ کند.
اقدامات اصلاحی و توصیه‌ها
بررسی‌ها نشان می‌دهد که حدود ۴۰۰ نصب حاوی افزونه‌های خانواده RMM+ شناسایی شده‌اند. اقدامات فوری زیر توصیه می‌شود:
- غیرفعال‌سازی افزونه‌ها: افزونه‌هایی مانند RMM+، RMM Plus و Labtech Plus باید در سریع‌ترین زمان ممکن غیرفعال شوند.
- عدم بررسی از راه دور: مدیران سیستم نباید برای بررسی سیستم‌های مشکوک، از طریق ScreenConnect متصل شوند، زیرا این کار ریسک سرایت بدافزار به سیستم خود آن‌ها را به همراه دارد.
- بررسی کلاینت‌های غیرمجاز: سیستم‌ها باید از نظر وجود کلاینت‌های مجزای ScreenConnect که توسط مهاجمان نصب شده‌اند، بازرسی شوند.
- پاکسازی کامل: صرفاً غیرفعال کردن افزونه‌ها یا تغییر رمز عبور کافی نیست؛ زیرا بدافزار ممکن است مکانیسم‌های بقا (persistence mechanisms) را ایجاد کرده باشد.
