กลุ่มมัลแวร์ใหม่ที่ใช้ลักษณะคล้ายหนอนพันธุ์ SCKit ถูกนำมาใช้ในการโจมตี ScreenConnect โดยมุ่งเป้าไปที่ Managed Service Providers (MSPs) เพื่อแพร่กระจายจากอุปกรณ์ลูกค้าไปยังคอมพิวเตอร์ของช่างเทคนิค และเข้าถึงเครือข่ายที่ถูกจัดการเพิ่มเติม
นักวิจัยของ Blackpoint Cyber ได้กู้คืนและถอดรหัสส่วนประกอบของมัลแวร์นี้ ซึ่งพบว่ามันพยายามขโมยคุกกี้การยืนยันตัวตนของ ScreenConnect จากเว็บเบราว์เซอร์ เพื่อให้ผู้โจมตีสามารถเข้าควบคุมเซสชันการจัดการได้โดยไม่ต้องใช้รหัสผ่านหรือ MFA ใหม่
Blackpoint แนะนำให้ MSPs ปิดใช้งานส่วนขยายบุคคลที่สามที่เกี่ยวข้อง อัปเดต ScreenConnect clients ตรวจสอบการติดตั้งระยะไกลที่ไม่ได้รับอนุญาต และทบทวนกิจกรรม Run Command และ Toolbox เพื่อหาสัญญาณการถูกบุกรุก
ศัพท์ที่ควรรู้
- MSPs – Managed Service Providers คือผู้ให้บริการด้านไอทีที่ดูแลระบบของลูกค้า
- SCKit – คือชุดเครื่องมือมัลแวร์ใหม่ที่มีลักษณะแพร่กระจายเหมือนหนอน
- ScreenConnect – คือแพลตฟอร์มที่ใช้สำหรับการเข้าถึงระยะไกล ซึ่งถูกโจมตีในครั้งนี้
- Run Command – คือฟีเจอร์ใน ScreenConnect ที่ผู้โจมตีอาจใช้ติดตั้งซอฟต์แวร์อันตราย
ที่มา: bleepingcomputer.com