Kẻ tấn công khai thác lỗ hổng ScreenConnect để lây lan mã độc
"Hackers exploited a flaw in the ScreenConnect RMM+ plugin (versions 1.0.31 and 1.0.32) to install malware (SCKit) on approximately 288 machines across 48 organizations. The vulnerability allowed attackers to bypass MFA via a blank access key, and the malware attempts to spread to IT technicians. ConnectWise has disabled several extensions in 400 environments as a precaution."
Lỗ hổng xác thực đa yếu tố (MFA) trong ScreenConnect cho phép kẻ tấn công truy cập trái phép vào hệ thống. Mã độc SCKit có khả năng lây lan ngang và tăng quyền truy cập, đe dọa dữ liệu nhạy cảm.
Các doanh nghiệp sử dụng ScreenConnect có thể bị mất dữ liệu, gián đoạn hoạt động và thiệt hại uy tín. Các công ty MSP có nguy cơ lây nhiễm chéo sang nhiều khách hàng.
ConnectWise xác nhận kẻ tấn công đã khai thác lỗ hổng trong plugin ScreenConnect RMM+ (phiên bản 1.0.31 và 1.0.32) để cài đặt mã độc SCKit lên khoảng 288 máy tính thuộc 48 tổ chức. Huntress, một công ty bảo mật, phát hiện lỗ hổng cho phép kẻ tấn công bỏ qua xác thực đa yếu tố (MFA) bằng cách sử dụng khóa truy cập trống.
Đây là vấn đề đáng quan tâm với các doanh nghiệp Việt Nam sử dụng ScreenConnect để quản lý từ xa, đặc biệt là các công ty MSP (Nhà cung cấp dịch vụ quản lý). Việc bỏ qua MFA tạo điều kiện cho kẻ tấn công dễ dàng xâm nhập hệ thống.
Mã độc SCKit có khả năng lây lan sang các kỹ thuật viên IT, tiềm ẩn nguy cơ mở rộng phạm vi tấn công sang các khách hàng khác do họ quản lý. Huntress ghi nhận khoảng 286 máy tính bị ảnh hưởng trong vòng 90 phút, với một phần ba số đó bị xâm nhập chỉ trong 10 phút đầu tiên.
ConnectWise đã vô hiệu hóa một số extension trong 400 môi trường để phòng ngừa, bao gồm RMM+, RMM Plus và Labtech Plus. Công ty nhấn mạnh rằng việc vô hiệu hóa extension không đảm bảo loại bỏ hoàn toàn mã độc. Họ khuyến cáo người dùng nên sử dụng các công cụ bảo mật khác để kiểm tra và loại bỏ mã độc. https://www.theregister.com/2023/11/12/screenconnect_plugin_flaw_malware/
Câu hỏi thường gặp
Lỗ hổng ScreenConnect ảnh hưởng đến phiên bản nào?
Lỗ hổng này ảnh hưởng đến plugin ScreenConnect RMM+ phiên bản 1.0.31 và 1.0.32. Các phiên bản ScreenConnect 26.6.6.9747 và 26.7.6.9783 cũng bị ảnh hưởng.
Mã độc SCKit hoạt động như thế nào?
SCKit cài đặt một ScreenConnect client riêng để duy trì quyền truy cập từ xa, ngay cả khi kết nối hợp pháp bị ngắt. Nó cũng cố gắng lây lan sang kỹ thuật viên IT và các khách hàng khác.
ConnectWise đã thực hiện biện pháp nào để khắc phục?
ConnectWise đã vô hiệu hóa năm extension, bao gồm RMM+, RMM Plus và Labtech Plus, trong khoảng 400 môi trường. Họ cũng khuyến cáo người dùng vô hiệu hóa các extension tương tự.
Góc nhìn của Orange Cloud
Theo chúng tôi, lỗ hổng này cho thấy tầm quan trọng của việc cập nhật phần mềm thường xuyên, đặc biệt là các plugin và extension. Các doanh nghiệp Việt Nam nên kiểm tra và cập nhật ScreenConnect lên phiên bản mới nhất, đồng thời xem xét các giải pháp bảo mật bổ sung để tăng cường khả năng phòng thủ. Điều đáng chú ý là mã độc SCKit có khả năng lây lan sang kỹ thuật viên IT, do đó cần đặc biệt cẩn trọng khi truy cập các máy tính nghi ngờ bị nhiễm.