Angreifer missbrauchen ScreenConnect für Fernzugriff auf Kundenumgebungen
Angreifer missbrauchen seit Mittwoch cloudbasierte ScreenConnect-Umgebungen von Managed Service Providern (MSPs), um eigene Remote-Access-Clients auf verwalteten Endpunkten zu installieren. Huntress entdeckte die laufende Kampagne und zählte zunächst sechs kompromittierte MSPs sowie 286 oder mehr betroffene Endpunkte in 47 Organisationen; die Zahl steige weiter.
Die Angreifer nutzen laut Huntress die Run-Command-Funktion von ScreenConnect. Damit verteilen sie weitere ScreenConnect-Clients auf Kundensystemen und schaffen einen Fernzugriff außerhalb der legitimen MSP-Umgebung. Huntress sagte, die bisherige Telemetrie deute auf kompromittierte Zugangsdaten und missbrauchte Support-Sitzungen hin. Wie die Täter erstmals in die MSP-Umgebungen gelangen, sei noch nicht geklärt.
Huntress warnte außerdem vor einem möglichen Reverse Pivot. Dabei könnte ein Angreifer den Arbeitsplatz eines MSP-Technikers kompromittieren, sobald dieser eine ScreenConnect-Sitzung zu einem infizierten Kundengerät startet. Die Forscher sagten, es sei unklar, ob dafür eine Software-Schwachstelle ausgenutzt oder eine legitime Funktion missbraucht werde.
ConnectWise bestätigte gegenüber BleepingComputer die Untersuchung und empfahl Partnern, keine interaktiven ScreenConnect-Sitzungen zu möglicherweise kompromittierten Geräten zu öffnen. Stattdessen sollen sie separate Sicherheitswerkzeuge verwenden, die Kontoaktivität prüfen, aktive Sitzungen widerrufen, Zugangsdaten von einem vertrauenswürdigen Gerät aus zurücksetzen und die Multifaktor-Authentifizierung kontrollieren.
MSPs sollten nach Angaben von Huntress auch dann die Run-Command-Historie prüfen, wenn sie keine Warnung erhalten haben. Sequenzielle, von den Angreifern vergebene Kennungen könnten auf frühere Kompromittierungen weiterer MSPs hindeuten. Als verdächtige Client-IDs nannte Huntress 2588ef5c15954b10 und ed630cc2c873b091.