ScreenConnect: Huntress relata 288 endpoints visados em 48 organizações

A atualização mais recente atribui à Huntress a identificação de pelo menos 288 endpoints visados em 48 organizações. A atividade teria abusado de ambientes parceiros do ScreenConnect para distribuir clientes remotos adulterados que entregavam o malware SCKit. Como precaução, a ConnectWise teria desativado cinco extensões de terceiros.[1]ScreenConnect Attacks Target at Least 288 Endpoints Across 48 Organizations With Rogue Clientsthehackernews.com · rssAbrir fonte originalVer na lista de fontes[2]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

Segundo os relatos, invasores obtiveram acesso não autorizado a contas de parceiros do ScreenConnect e usaram o recurso Run Command para instalar clientes ScreenConnect controlados por eles nos computadores gerenciados. Esses clientes teriam servido como caminho para a entrega do SCKit.[3]DailyDarkWebx.com · DailyDarkWeb · xAbrir fonte originalVer na lista de fontes[2]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

Em resposta aos relatos de acesso não autorizado, a ConnectWise tomou a medida preventiva de desativar cinco extensões de terceiros em ambientes de parceiros.[1]ScreenConnect Attacks Target at Least 288 Endpoints Across 48 Organizations With Rogue Clientsthehackernews.com · rssAbrir fonte originalVer na lista de fontes

O risco não termina no computador inicialmente visado. A Huntress teria alertado que um técnico que abra uma sessão interativa com uma máquina afetada pode expor também sua própria estação de trabalho, ampliando a atividade por meio da relação de confiança entre prestadores de TI e clientes.[4]IntCyberDigestx.com · IntCyberDigest · xAbrir fonte originalVer na lista de fontes[5]IntCyberDigestx.com · IntCyberDigest · xAbrir fonte originalVer na lista de fontes

A orientação divulgada é não iniciar sessões interativas em hosts suspeitos. Administradores também devem revisar o histórico do Run Command e as extensões instaladas ou habilitadas nos ambientes ScreenConnect, procurando execuções e alterações que não reconheçam.[3]DailyDarkWebx.com · DailyDarkWeb · xAbrir fonte originalVer na lista de fontes[6]DailyDarkWebx.com · DailyDarkWeb · xAbrir fonte originalVer na lista de fontes

A ConnectWise afirmou não ter evidências de comprometimento de sua própria infraestrutura nem de uma vulnerabilidade no software ScreenConnect. Ao mesmo tempo, o lote não esclarece como as contas de parceiros teriam sido acessadas, quais extensões estariam envolvidas, quem conduziu a atividade ou qual será o alcance final. Assim, a origem exata permanece em aberto.[1]ScreenConnect Attacks Target at Least 288 Endpoints Across 48 Organizations With Rogue Clientsthehackernews.com · rssAbrir fonte originalVer na lista de fontes[3]DailyDarkWebx.com · DailyDarkWeb · xAbrir fonte originalVer na lista de fontes

A ConnectWise apresenta a desativação das extensões como precaução e rejeita, até agora, evidências de falha em sua infraestrutura ou no produto. Já os relatos atribuídos à Huntress descrevem contas de parceiros comprometidas e uma contagem crescente de organizações e endpoints visados. As duas posições não provam, por si sós, o ponto inicial da intrusão.[1]ScreenConnect Attacks Target at Least 288 Endpoints Across 48 Organizations With Rogue Clientsthehackernews.com · rssAbrir fonte originalVer na lista de fontes[6]DailyDarkWebx.com · DailyDarkWeb · xAbrir fonte originalVer na lista de fontes

Os primeiros resumos publicados no lote falavam em mais de 286 endpoints de 47 organizações. Uma atualização posterior elevou a contagem atribuída à Huntress para pelo menos 288 endpoints em 48 organizações, uma diferença de dois endpoints e uma organização entre os retratos publicados.[6]DailyDarkWebx.com · DailyDarkWeb · xAbrir fonte originalVer na lista de fontes[1]ScreenConnect Attacks Target at Least 288 Endpoints Across 48 Organizations With Rogue Clientsthehackernews.com · rssAbrir fonte originalVer na lista de fontes

5 grupos independentes, 5 atualizações e 6 interações.

A cadeia descrita começa no console de administração de um parceiro. O recurso Run Command, destinado a executar comandos remotamente nos endpoints gerenciados, teria sido usado para instalar clientes ScreenConnect não autorizados. Esses clientes forneceriam um novo canal de acesso remoto e entregariam o SCKit, sem que as evidências fornecidas detalhem seu código, persistência ou capacidades.[3]DailyDarkWebx.com · DailyDarkWeb · xAbrir fonte originalVer na lista de fontes[2]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

O lote contém a página oficial de avisos da ConnectWise, mas sem o texto do comunicado capturado. Os detalhes técnicos, as contagens e as recomendações aparecem principalmente em uma reportagem do The Hacker News e em publicações sociais que atribuem dados à Huntress ou resumem o aviso da empresa. Por isso, a ação preventiva e a posição declarada da ConnectWise têm apoio indireto, enquanto autoria, método de entrada e alcance permanecem alegações ainda sem documentação primária completa neste material.[7]connectwise.comconnectwise.com · rssAbrir fonte originalVer na lista de fontes[1]ScreenConnect Attacks Target at Least 288 Endpoints Across 48 Organizations With Rogue Clientsthehackernews.com · rssAbrir fonte originalVer na lista de fontes[3]DailyDarkWebx.com · DailyDarkWeb · xAbrir fonte originalVer na lista de fontes