Hackers estão explorando uma vulnerabilidade em uma extensão de terceiros para o ScreenConnect, ferramenta de acesso remoto popular, para disseminar malware em centenas de computadores. A campanha já comprometeu pelo menos 288 máquinas em 48 organizações, levando a ConnectWise, proprietária do ScreenConnect desde 2015, a desativar diversas extensões em centenas de ambientes de clientes. A descoberta foi feita pela empresa de segurança Huntress, que alertou para uma campanha ativa contra instâncias do ScreenConnect hospedadas na nuvem. Os ataques, detectados por volta das 17h47 UTC, utilizaram a funcionalidade de comando remoto do ScreenConnect para instalar clientes não autorizados em máquinas gerenciadas por provedores de serviços de TI. Cerca de um terço dos 288 pontos de extremidade foram comprometidos nos primeiros dez minutos, com o número total de vítimas crescendo rapidamente. A Huntress suspeita que mais provedores de serviço gerenciados (MSPs) possam ter sido afetados, pois os atacantes pareciam numerar suas vítimas sequencialmente, sugerindo ataques anteriores não detectados.

Mecanismo de Ataque e Ferramentas Maliciosas

Os atacantes implantaram um kit de malware de 16 arquivos, apelidado de SCKit. Este kit instala um cliente ScreenConnect separado, permitindo manter o acesso remoto mesmo que a conexão legítima seja encerrada. O SCKit também contém código projetado para espalhar a infecção para técnicos de TI e, potencialmente, para outros clientes sob seu controle. A Huntress rastreou a atividade a uma possível fraqueza de autenticação no RMM+, uma extensão de terceiros que permite que outras ferramentas de gerenciamento emitam comandos através do ScreenConnect sem a necessidade de os técnicos utilizarem o console principal. Versões específicas da extensão (1.0.31 e 1.0.32) apresentavam uma falha que permitia a aceitação de uma chave de acesso em branco em instalações sem configuração prévia. Como o RMM+ opera independentemente das contas de usuário e controles de autenticação normais do ScreenConnect, um invasor poderia executar comandos sem a necessidade de contornar a autenticação multifator (MFA). Os pesquisadores da Huntress confirmaram que os ataques afetaram versões específicas do ScreenConnect (26.6.6.9747 e 26.7.6.9783), indicando que mesmo administradores com as versões mais recentes não estavam imunes.

Resposta da ConnectWise e Implicações para MSPs

A ConnectWise reconheceu o envolvimento de extensões de terceiros, mas evitou confirmar a forma exata como os atacantes obtiveram acesso inicial. Em um aviso de segurança, a empresa informou que estava investigando acessos não autorizados em certos ambientes de parceiros e identificou aproximadamente 400 instalações com pelo menos uma extensão da família RMM+. A empresa desativou remotamente cinco extensões, incluindo RMM+, RMM Plus e Labtech Plus, e instruiu clientes com servidores ScreenConnect próprios a fazerem o mesmo. É crucial notar que as 400 instalações foram identificadas devido à presença das extensões, não necessariamente por terem sido comprometidas. A ConnectWise enfatizou que, até o momento, não encontrou evidências de comprometimento de sua própria infraestrutura ou de uma vulnerabilidade no ScreenConnect em si.

Riscos Adicionais e Recomendações de Segurança

O kit SCKit contém uma funcionalidade adicional preocupante: ele pode transformar um computador infectado em uma armadilha para o técnico que tenta investigar a infecção. Se o técnico se conectar via ScreenConnect, o toolkit tenta transferir malware para sua estação de trabalho, roubar cookies de autenticação e usar esse acesso para infectar outras máquinas. Isso poderia fornecer aos atacantes um caminho de um cliente comprometido para outros gerenciados pelo mesmo provedor de TI. No entanto, a Huntress ainda não observou esse método de propagação ter sucesso, com tentativas de tomada de controle do console falhando nos logs recuperados. Os pesquisadores também suspeitam que parte do código C# do malware foi gerado por um modelo de linguagem grande (LLM), devido a comentários detalhados que explicam a funcionalidade do código. Tanto a Huntress quanto a ConnectWise alertam os administradores a não investigarem infecções suspeitas conectando-se remotamente via ScreenConnect, pois isso poderia colocar a máquina do próprio técnico em risco. Recomenda-se o uso de outras ferramentas de segurança para investigar máquinas afetadas, procurar por clientes ScreenConnect não autorizados e verificar os comandos executados. A remoção completa do malware é essencial antes de recolocar as máquinas em operação, pois algumas máquinas foram reinfectadas minutos após serem isoladas devido à remoção inadequada.

Perguntas em Aberto e o Futuro da Segurança de Acesso Remoto

A desativação das extensões vulneráveis, por si só, pode não ser suficiente para reverter completamente o dano. A ConnectWise adverte que a desativação de extensões e a redefinição de credenciais podem não remover softwares não autorizados, mecanismos de persistência ou acesso já estabelecido nos endpoints. Com os atacantes capazes de instalar seu próprio software de acesso remoto, removê-los pode ser significativamente mais desafiador do que simplesmente fechar a porta de entrada. A situação levanta questões sobre a segurança de ecossistemas de plugins em ferramentas de acesso remoto e a eficácia dos mecanismos de autenticação quando extensões de terceiros podem contorná-los. A dependência de MSPs em tais ferramentas, combinada com a sofisticação crescente dos ataques, exige uma vigilância constante e uma reavaliação das práticas de segurança.

Com reportagem de Brazil Valley

Source · The Register