Ít nhất 288 thiết bị bị tấn công qua ScreenConnect
"A campaign targeting ScreenConnect deployments has impacted at least 288 endpoints across 48 organizations. Attackers are exploiting compromised credentials or hijacked sessions to deploy rogue ScreenConnect clients via the Run Command feature, enabling persistent remote access and lateral movement. Indicators of compromise (IOCs) including IP addresses, domains, and malware artifacts have been identified."
Cuộc tấn công ScreenConnect cho thấy mối đe dọa từ việc khai thác các tiện ích mở rộng của bên thứ ba và tầm quan trọng của việc kiểm soát quyền truy cập. Các tổ chức cần xem xét lại bảo mật của họ.
Việc bị xâm phạm ScreenConnect có thể gây gián đoạn hoạt động, mất dữ liệu và tổn hại uy tín. Các doanh nghiệp cần hành động nhanh chóng để giảm thiểu rủi ro và bảo vệ hệ thống của họ.
ConnectWise đã tắt năm tiện ích mở rộng của bên thứ ba sau khi phát hiện truy cập trái phép. Họ khẳng định không có bằng chứng về việc cơ sở hạ tầng của họ hoặc phần mềm ScreenConnect bị xâm phạm.
Hoạt động này có thể liên quan đến việc kẻ tấn công lợi dụng các tiện ích mở rộng của bên thứ ba trong môi trường của đối tác. ConnectWise xác định khoảng 400 môi trường đối tác có cài đặt ít nhất một tiện ích mở rộng này. Tuy nhiên, việc cài đặt tiện ích mở rộng không đồng nghĩa với việc hệ thống đã bị xâm phạm.
Các tiện ích mở rộng này cung cấp API cho phép thực thi lệnh từ xa, nhưng quyền truy cập vào API này được bảo vệ bằng mật khẩu do đối tác cấu hình. Danh sách các tiện ích mở rộng bị tắt bao gồm Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link và RMM+ Password Link.
ConnectWise khuyến nghị các đối tác sử dụng phiên bản on-premises tắt các tiện ích mở rộng này. Họ cũng đề xuất tất cả các đối tác đảm bảo các biện pháp kiểm soát bảo mật đang hoạt động, lưu giữ nhật ký hoạt động đáng ngờ và cảnh giác với:
- Đăng nhập bất thường, vị trí không quen thuộc, nhiều lần đăng nhập không thành công và yêu cầu MFA (Multi-Factor Authentication) không mong muốn.
- Tài khoản quản trị viên mới hoặc thay đổi quyền người dùng.
- Cài đặt tiện ích mở rộng, lệnh từ xa và hoạt động Toolbox không mong muốn.
- Phần mềm truy cập từ xa không được phê duyệt trên thiết bị của khách hàng và trạm làm việc của kỹ thuật viên.
- Yêu cầu hỗ trợ, tin nhắn đặt lại mật khẩu và tải xuống phần mềm bất ngờ qua kênh đáng tin cậy.
Các chỉ số xâm nhập (IOCs) đã được chia sẻ, bao gồm các IP address: 185.99.255[.]28 và 155.94.150[.]39; domains/URLs: ns[.]mo7sen[.]dev, ns[.]mo7sen[.]dev/EadF.php?p=4, sc[.]payproofkit[.]com, cdn007-digitaldownloads[.]com, newnewnew[.]gotdns[.]org, Soxnewwork[.]homedns[.]org; và artifacts: sckit-run.bat, sckit-decoder.ps1, TrapWatch.ps1, Panel-Lateral.ps1, Run-Lateral-Full.bat, runnew.cmd, ToolboxRelayUploader.exe, Sqlite3.exe.
Công ty bảo mật Huntress cho biết họ quan sát thấy kẻ tấn công sử dụng quyền truy cập vào các bảng điều khiển ScreenConnect trên cloud để thực thi lệnh Run nhằm cài đặt các máy khách ScreenConnect độc hại trên ít nhất 288 thiết bị thuộc 48 tổ chức. Hoạt động này được phát hiện lần đầu vào ngày 11 tháng 11 năm 2026, lúc 17:47 UTC. Huntress chưa thấy bằng chứng về vulnerability mới, nhưng phương thức kẻ tấn công có được quyền truy cập vào bảng điều khiển vẫn chưa rõ ràng. Dữ liệu hiện tại cho thấy thông tin đăng nhập bị xâm phạm hoặc phiên làm việc bị chiếm đoạt là nguyên nhân ban đầu.
Câu hỏi thường gặp
ScreenConnect là gì?
ScreenConnect là phần mềm truy cập từ xa được sử dụng để hỗ trợ và quản lý thiết bị từ xa. Kẻ tấn công đang lợi dụng nó để cài đặt phần mềm độc hại.
Các IOCs được chia sẻ là gì?
Các IOCs bao gồm địa chỉ IP, tên miền, URL và các tệp tin độc hại liên quan đến cuộc tấn công. Các tổ chức có thể sử dụng chúng để phát hiện và ngăn chặn các cuộc tấn công tương tự.
Huntress phát hiện ra điều gì?
Huntress phát hiện ra rằng kẻ tấn công đang sử dụng ScreenConnect để cài đặt các máy khách độc hại trên nhiều thiết bị, cho phép chúng kiểm soát từ xa và di chuyển ngang trong mạng.
Góc nhìn của Orange Cloud
Theo chúng tôi, các doanh nghiệp Việt Nam sử dụng ScreenConnect cần kiểm tra kỹ các tiện ích mở rộng đã cài đặt và tắt những tiện ích không cần thiết. Điều đáng chú ý là cách lây lan theo kiểu 'worm' – từ thiết bị bị nhiễm đến kỹ thuật viên, rồi từ kỹ thuật viên đến các thiết bị khác – cho thấy tầm quan trọng của việc bảo mật cả trạm làm việc của kỹ thuật viên và các thiết bị được quản lý.