مهاجمان با تصاحب پنل‌های ابری (Cloud-hosted) ابزار ScreenConnect، موفق شدند مجموعه‌ای از ابزارهای سفارشی به نام SCKit را روی حداقل ۲۸۸ دستگاه در ۴۸ سازمان مختلف توزیع کنند.
مکانیزم حمله و دسترسی
در این عملیات، عامل تهدید از قابلیت Run command در پنل ScreenConnect برای ارسال دستورات همزمان به چندین Endpoint استفاده کرده است. این دستورات با سطح دسترسی SYSTEM (بالاترین سطح دسترسی در ویندوز) اجرا شده و ابتدا وجود کلاینت ScreenConnect را بررسی کرده و سپس یک نصب‌کننده مخرب را در مسیر C:WindowsTEMPsc.msi دانلود و به‌صورت Silent نصب کرده‌اند.
نقش افزونه‌های شخص ثالث
تحلیل‌ها نشان می‌دهد که نسخه‌های 26.6.6.9747 و 26.7.6.9783 تحت تأثیر این حمله بوده‌اند. اگرچه ConnectWise اعلام کرده که هیچ نفوذی به سیستم‌های داخلی خود یا نقص امنیتی در هسته ScreenConnect پیدا نکرده است، اما پنج افزونه خارجی (از جمله Labtech Plus و RMM Plus) را به عنوان عوامل احتمالی معرفی کرده است. این افزونه‌ها دارای یک API برای اجرای دستورات از راه دور هستند که تنها توسط یک Passphrase محافظت می‌شود.
تحلیل فنی بدافزار SCKit
- ساختار: این ابزار شامل ۱۶ فایل (اسکریپت‌های PowerShell و فایل‌های Batch) است.
- دور زدن شناسایی: سیستم عفونی، Windows ID خود را به سرور مهاجم ارسال کرده و سرور کلیدی منحصر‌به‌فرد برای باز کردن Payload آن دستگاه را می‌فرستد؛ این موضوع باعث می‌شود شناسایی بر اساس File Hash عملاً غیرممکن شود.
- ماندگاری (Persistence): بدافزار یک کلاینت جعلی ScreenConnect نصب کرده، استثناهایی (Exclusions) در Microsoft Defender ایجاد می‌کند و با استفاده از یک Task زمان‌بندی شده به نام TrapWatch، کلاینت اصلی را متوقف و نسخه مخرب را جایگزین می‌کند.
هدف ثانویه: شکار تکنسین‌ها
یکی از پیچیدگی‌های SCKit، تلاش برای سرقت نشست‌های مدیریتی است. این بدافزار منتظر می‌ماند تا یک تکنسین به دستگاه عفونی متصل شود و سپس یک Dropper را روی Workstation تکنسین منتقل کرده و کوکی نشست .aspxauth را سرقت می‌کند. با این کوکی، مهاجم تلاش می‌کند به سایر نشست‌های فعال تکنسین دسترسی پیدا کرده و Payload خود را در Shared Toolbox پنل مدیریت آپلود کند.
توصیه‌های امنیتی
برای مقابله با این تهدید، توصیه می‌شود از اتصال به دستگاه‌های مشکوک از طریق ScreenConnect خودداری شود، زیرا این نشست می‌تواند بدافزار را به Workstation مدیر منتقل کند. در عوض، باید از قابلیت‌های Live Response در EDR، پروتکل WinRM یا ابزارهای جایگزین استفاده کرد.
