Hàng trăm endpoint bị xâm nhập qua lỗ hổng ScreenConnect

Một nhóm tấn công đã chiếm quyền điều khiển hàng trăm endpoint thuộc hàng chục khách hàng sử dụng ConnectWise ScreenConnect, theo báo cáo của hãng bảo mật Huntress.

ScreenConnect

Chiến dịch được phát hiện vào ngày 11/11, khi kẻ tấn công lợi dụng quyền truy cập trái phép vào các bảng điều khiển ScreenConnect chạy trên nền tảng đám mây để thực thi lệnh trên các endpoint được quản lý. Theo Huntress, ít nhất 6 MSP (nhà cung cấp dịch vụ quản lý) và 288 máy chủ thuộc 48 tổ chức đã bị ảnh hưởng, và toàn bộ 288 máy chủ này bị tấn công chỉ trong vòng 90 phút.

Cách thức tấn công

Sau khi có quyền truy cập, kẻ tấn công triển khai các client ScreenConnect giả mạo cùng bộ công cụ mã độc có tên SCKit. Bộ công cụ này cung cấp khả năng truy cập backdoor liên tục, chặn bắt cookie phiên (session cookie) và có thể tự nhân bản.

Cơ chế lây lan khá tinh vi: mã độc chờ một kỹ thuật viên kết nối tới endpoint đã bị nhiễm để lây nhiễm luôn máy trạm của người đó, sau đó tiếp tục nhắm tới các phiên làm việc khác mà kỹ thuật viên này có quyền truy cập, và lan sang những bảng điều khiển khác.

Huntress lưu ý rằng không phải toàn bộ chức năng của mã độc đều đã được quan sát trong các sự cố thực tế — một số chức năng được phát hiện thông qua phân tích payload.

Lỗ hổng nằm ở tiện ích mở rộng RMM+

Điểm mấu chốt của chiến dịch là lỗ hổng trong RMM+, một tiện ích mở rộng của bên thứ ba dùng để quản lý các phiên ScreenConnect. RMM+ sử dụng một khóa truy cập dùng chung (shared access key) để thay thế cơ chế xác thực của ScreenConnect.

Kẻ tấn công nhiều khả năng đã khai thác lỗi trong phiên bản 1.0.31 và 1.0.32 của tiện ích này: nếu quản trị viên chưa từng cấu hình khóa truy cập, RMM+ sẽ chấp nhận giá trị khóa rỗng, cho phép kẻ tấn công vượt qua xác thực bằng một chuỗi trống.

"Phân tích của chúng tôi cho thấy phần lớn các bản cài RMM+ gặp phải là hợp pháp, thường được thêm vào cho một dự án rồi để nguyên đó. Nhưng phiên bản 1.0.31 và 1.0.32 chứa một lỗi xác thực nghiêm trọng: nếu quản trị viên chưa bao giờ cấu hình khóa truy cập của tiện ích, RMM+ sẽ chấp nhận khóa rỗng", Huntress cho biết.

Bảo mật

Phản ứng của ConnectWise

Huntress cho biết các lệnh đã đến được endpoint chỉ trong vài phút, nhưng không có hoạt động đăng nhập tương ứng — các log được xem xét đều liên quan đến RMM+.

Đáp lại, ConnectWise đã vô hiệu hóa 5 tiện ích mở rộng thuộc họ RMM+ trên khoảng 400 môi trường ScreenConnect, gồm: Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link và RMM+ Password Link.

ConnectWise nhấn mạnh: "Bản thân việc các tiện ích này tồn tại không đồng nghĩa với việc đã bị xâm nhập. Chúng cung cấp một API có khả năng thực thi lệnh từ xa. Quyền truy cập vào API đó được bảo vệ bằng một cụm mật khẩu do đối tác cấu hình khi thiết lập."

Cả Huntress và ConnectWise đều đã công bố các chỉ dấu xâm nhập (IoCs — indicator of compromise) liên quan đến chiến dịch và khuyến nghị các tổ chức vô hiệu hóa những tiện ích mở rộng này trên các triển khai ScreenConnect tại chỗ (on-premises).

Góc nhìn

Sự việc là lời nhắc nhở rõ ràng về cái giá của những tiện ích mở rộng "cài rồi bỏ quên". Rất nhiều đội IT thêm các plugin như RMM+ để phục vụ một dự án ngắn hạn, rồi không gỡ bỏ hay rà soát cấu hình của chúng. Khi một tiện ích như vậy nằm trong đường xác thực của công cụ quản lý từ xa, một khóa rỗng không được đặt cũng đủ trở thành cửa sau cho kẻ tấn công.

SecurityWeek

Với các doanh nghiệp và nhà cung cấp dịch vụ quản lý tại Việt Nam đang dùng ScreenConnect hoặc công cụ truy cập từ xa tương tự, bài học thực tế là cần kiểm kê toàn bộ tiện ích mở rộng đang cài đặt, gỡ bỏ những thứ không còn dùng, và đảm bảo mọi khóa truy cập đều được đặt giá trị cụ thể thay vì để mặc định. Trong mô hình MSP, nơi một kỹ thuật viên có quyền truy cập hàng chục khách hàng, việc một máy trạm bị nhiễm có thể kéo theo cả chuỗi phiên làm việc — đúng như cách SCKit đã hoạt động.