แฮกเกอร์ใช้ช่องโหว่ส่วนขยาย ScreenConnect แพร่กระจายมัลแวร์

Huntress บริษัทด้านความปลอดภัยทางไซเบอร์รายงานการตรวจพบแคมเปญโจมตีใหม่ ซึ่งแฮกเกอร์สามารถเจาะระบบเอนด์พอยต์ได้หลายร้อยจุดในกลุ่มลูกค้าของ ConnectWise ScreenConnect หลายสิบราย

การโจมตีนี้ถูกตรวจพบครั้งแรกเมื่อวันที่ 11 พฤศจิกายนที่ผ่านมา โดยผู้ไม่หวังดีได้อาศัยการเข้าถึงแผงควบคุม ScreenConnect แบบ cloud-hosted โดยไม่ได้รับอนุญาต เพื่อส่งคำสั่งรันบนเอนด์พอยต์ที่อยู่ภายใต้การดูแล ข้อมูลจาก Huntress ระบุว่าแคมเปญนี้ส่งผลกระทบต่อ MSP อย่างน้อย 6 ราย และโฮสต์ 288 แห่งใน 48 องค์กร โดยผู้โจมตีใช้เวลาเพียง 90 นาทีในการเข้าถึงโฮสต์ทั้งหมดที่ถูกเจาะระบบ

คำสั่งที่แฮกเกอร์ใช้ได้ทำหน้าที่ติดตั้งไคลเอนต์ ScreenConnect ปลอม พร้อมกับชุดเครื่องมือมัลแวร์ที่เรียกว่า SCKit ซึ่งมีความสามารถในการสร้าง backdoor เพื่อคงการเข้าถึงไว้แบบถาวร ดักจับ session cookies และแพร่กระจายตัวเองได้เองโดยอัตโนมัติ

ในเบื้องต้นมัลแวร์จะถูกติดตั้งผ่านแผงควบคุม ScreenConnect เพื่อรอให้ช่างเทคนิคเชื่อมต่อกับเอนด์พอยต์ที่ถูกเจาะระบบ จากนั้นจะแพร่เชื้อไปยังเครื่องเวิร์กสเตชันของช่างเทคนิคเพื่อพยายามเจาะเข้าสู่เซสชันอื่นๆ ที่ช่างเทคนิคคนนั้นมีสิทธิ์เข้าถึง และแพร่กระจายตัวไปยังแผงควบคุมอื่นๆ ต่อไป

"อย่างไรก็ตาม ยังไม่พบการทำงานครบทุกส่วนในระหว่างเหตุการณ์ที่สังเกตได้ ฟังก์ชันบางอย่างถูกค้นพบผ่านการวิเคราะห์ payload เท่านั้น" Huntress ระบุ

กลไกสำคัญในการโจมตีครั้งนี้คือการใช้ช่องโหว่ใน RMM+ ซึ่งเป็นส่วนขยายจากบุคคลที่สามที่ใช้สำหรับจัดการเซสชัน ScreenConnect โดยช่องโหว่ดังกล่าวอยู่ในกระบวนการใช้คีย์การเข้าถึงร่วมกัน (shared access key) เพื่อบายพาสระบบตรวจสอบสิทธิ์ของ ScreenConnect

แฮกเกอร์มุ่งเป้าไปที่ส่วนขยายเวอร์ชัน 1.0.31 และ 1.0.32 ซึ่งมีข้อผิดพลาดร้ายแรงคือ หากผู้ดูแลระบบไม่ได้ตั้งค่าคีย์การเข้าถึงไว้ ระบบจะกำหนดให้เป็นค่าว่างโดยอัตโนมัติ ส่งผลให้ผู้โจมตีสามารถผ่านการตรวจสอบสิทธิ์ได้ทันทีด้วยการไม่ใส่รหัสผ่าน

"การวิเคราะห์ของเราบ่งชี้ว่า การติดตั้ง RMM+ ส่วนใหญ่ที่เราพบนั้นเป็นของจริง ซึ่งมักถูกเพิ่มเข้ามาเพื่อใช้งานในโปรเจกต์ใดโปรเจกต์หนึ่งแล้วถูกปล่อยทิ้งไว้ แต่เวอร์ชัน 1.0.31 และ 1.0.32 มีข้อบกพร่องร้ายแรงในการตรวจสอบสิทธิ์: หากผู้ดูแลระบบไม่เคยตั้งค่าคีย์การเข้าถึงของส่วนขยาย RMM+ จะยอมรับค่าว่างแทน" Huntress อธิบายเพิ่มเติม

จากการตรวจสอบพบว่าคำสั่งถูกส่งไปยังเอนด์พอยต์ภายในเวลาเพียงไม่กี่นาที โดยไม่พบกิจกรรมการล็อกอินที่ผิดปกติ เนื่องจาก log ที่ถูกบันทึกไว้มีความเชื่อมโยงโดยตรงกับส่วนขยาย RMM+ เพื่อเป็นการตอบโต้และป้องกันความเสียหาย ConnectWise ได้สั่งปิดการใช้งานส่วนขยาย 5 รายการในตระกูล RMM+ ในสภาพแวดล้อม ScreenConnect ประมาณ 400 แห่ง ได้แก่ Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link และ RMM+ Password Link

"การมีอยู่ของส่วนขยายเหล่านี้เพียงอย่างเดียวไม่ได้หมายความว่าระบบถูกเจาะ ส่วนขยายเหล่านี้มี API ที่สามารถรันคำสั่งจากระยะไกลได้ ซึ่งการเข้าถึง API ดังกล่าวจะถูกปกป้องด้วยข้อความรหัสผ่าน (passphrase) ที่พาร์ทเนอร์เป็นผู้กำหนดในระหว่างการติดตั้ง" ConnectWise หมายเหตุ

ปัจจุบันทั้ง Huntress และ ConnectWise ได้เผยแพร่ indicators of compromise (IoCs) ที่เกี่ยวข้องกับแคมเปญนี้แล้ว พร้อมแนะนำให้ทุกองค์กรสั่งปิดการใช้งานส่วนขยายดังกล่าวในการติดตั้ง ScreenConnect แบบ on-premises ของตนทันที