Huntress ได้แจ้งเตือนครั้งแรกในโพสต์ Reddit เมื่อวันพุธ เกี่ยวกับปฏิบัติการที่มุ่งเป้าไปที่อินสแตนซ์ ScreenConnect ที่โฮสต์บนคลาวด์ โดยพบว่ามีผู้ให้บริการจัดการบริการ (MSPs) ที่ถูกบุกรุก 6 แห่ง และปลายทางที่ได้รับผลกระทบมากกว่า 286 แห่ง ซึ่งตัวเลขยังคงเพิ่มขึ้น
การโจมตีถูกตรวจพบเมื่อประมาณ 17:47 UTC เมื่อมีการใช้ฟีเจอร์คำสั่งระยะไกลของ ScreenConnect เพื่อติดตั้งไคลเอ็นต์ที่ไม่ได้รับอนุญาตบนเครื่องที่ดูแลโดยผู้ให้บริการด้านไอทีหลายราย
ผู้โจมตีได้ติดตั้งชุดเครื่องมือมัลแวร์ 16 ไฟล์ชื่อ SCKit ซึ่งติดตั้งไคลเอ็นต์ ScreenConnect แยกต่างหากเพื่อรักษาการเข้าถึงระยะไกลไว้ แม้ว่าการเชื่อมต่อที่ถูกต้องจะถูกปิดไปแล้วก็ตาม
ในคำเตือนด้านความปลอดภัย บริษัทระบุว่ากำลังสอบสวนการเข้าถึงที่ไม่ได้รับอนุญาตในสภาพแวดล้อมของพันธมิตรบางแห่ง และพบการติดตั้งประมาณ 400 แห่งที่มีส่วนขยายจากตระกูล RMM+ อย่างน้อยหนึ่งตัว พวกเขาได้ปิดส่วนขยายห้าตัว รวมถึง RMM+, RMM Plus และ Labtech Plus ในทุกที่ที่สามารถทำได้จากระยะไกล และเรียกร้องให้ลูกค้าที่ใช้เซิร์ฟเวอร์ ScreenConnect ของตนเองดำเนินการเช่นเดียวกัน
ทั้ง Huntress และ ConnectWise เน้นย้ำว่าผู้ดูแลระบบไม่ควรตรวจสอบการติดเชื้อที่สงสัยโดยการเชื่อมต่อระยะไกลผ่าน ScreenConnect เนื่องจากอาจทำให้เครื่องของช่างเทคนิคเองตกอยู่ในความเสี่ยง และมัลแวร์ที่หลงเหลืออยู่จะต้องถูกกำจัดก่อนนำเครื่องกลับมาใช้งาน
ศัพท์ที่ควรรู้
- ScreenConnect – เป็นซอฟต์แวร์ที่ใช้สำหรับการควบคุมเครื่องจากระยะไกล ซึ่งถูกใช้เป็นช่องทางในการโจมตีครั้งนี้
- Malware – คือซอฟต์แวร์ประสงค์ร้ายที่ถูกติดตั้งโดยผู้โจมตีเพื่อทำอันตรายต่อระบบ
- SCKit – คือชุดเครื่องมือมัลแวร์ 16 ไฟล์ที่ผู้โจมตีใช้ในการติดตั้งและคงการเข้าถึงระยะไกล
- Huntress – คือบริษัทรักษาความปลอดภัยที่ตรวจพบและแจ้งเตือนเกี่ยวกับปฏิบัติการโจมตีนี้
- ConnectWise – คือบริษัทที่ให้บริการด้าน ScreenConnect และกำลังให้คำแนะนำด้านความปลอดภัย
ที่มา: The Register