Lỗ hổng tiện ích ScreenConnect bị khai thác, 288 máy bị nhiễm mã độc

Lỗ hổng tiện ích ScreenConnect bị khai thác, hàng trăm máy tính nhiễm mã độc

Tin tặc đã lợi dụng một tiện ích mở rộng bên thứ ba kém an toàn của ScreenConnect để đẩy mã độc lên ít nhất 288 máy thuộc 48 tổ chức, khiến ConnectWise phải vô hiệu hóa một loạt plugin tại hàng trăm môi trường khách hàng. Sự việc cho thấy chuỗi cung ứng phần mềm quản lý từ xa đang là mục tiêu hấp dẫn, vì chỉ cần chiếm được một mắt lưới là có thể lan sang nhiều tổ chức phía sau.

Diễn biến cuộc tấn công

Công ty bảo mật Huntress là đơn vị đầu tiên phát hiện chiến dịch, khi trung tâm giám sát của họ theo dõi 6 nhà cung cấp dịch vụ quản lý (MSP) bị xâm phạm và hơn 286 thiết bị đầu cuối bị ảnh hưởng, con số vẫn tiếp tục tăng.

Khoảng 17h47 UTC, kẻ tấn công bắt đầu dùng tính năng chạy lệnh từ xa của ScreenConnect để cài client lạ lên các máy do nhiều đơn vị IT quản lý. Toàn bộ 288 thiết bị bị nhiễm chỉ trong 90 phút, trong đó khoảng một phần ba bị chiếm trong 10 phút đầu tiên.

Huntress nghi ngờ còn nhiều MSP khác đã bị xâm phạm, bởi tin tặc dường như đánh số nạn nhân theo thứ tự tuần tự, và các con số cho thấy có những vụ tấn công trước đó mà họ chưa phát hiện.

Bộ công cụ SCKit và chiêu "bẫy" kỹ thuật viên

Nhóm tấn công triển khai một bộ công cụ mã độc gồm 16 tệp, được đặt tên là SCKit. Bộ này cài một client ScreenConnect riêng để duy trì quyền truy cập từ xa ngay cả khi kết nối hợp lệ bị ngắt, đồng thời chứa mã nhằm lây lan sang chính kỹ thuật viên IT và có thể là các khách hàng khác do họ quản lý.

Đáng chú ý, SCKit còn được thiết kế để biến máy tính bị nhiễm thành cái bẫy cho kỹ thuật viên đến điều tra. Nếu kỹ thuật viên kết nối qua ScreenConnect, bộ công cụ sẽ cố gắng chuyển mã độc ngược về máy của người đó, đánh cắp cookie xác thực và dùng quyền truy cập của họ để lây nhiễm các máy khác.

Tuy nhiên, Huntress cho biết chưa ghi nhận phần tấn công lan truyền này thành công:

"Chúng tôi chưa quan sát thấy phương thức lây lan đó hoạt động. Nỗ lực chiếm quyền điều khiển console đều thất bại trong mọi nhật ký máy bị nhiễm mà chúng tôi đã kiểm tra cho đến nay."

Huntress cũng nghi ngờ một phần mã C# của mã độc được tạo bằng LLM (mô hình ngôn ngữ lớn), dựa vào các đoạn chú thích giải thích chức năng của mã chi tiết bất thường.

Lỗ hổng nằm ở đâu?

Huntress truy vết hoạt động về một điểm yếu xác thực có thể có trong RMM+, một tiện ích mở rộng bên thứ ba cho phép các công cụ quản lý khác ra lệnh qua ScreenConnect mà không cần kỹ thuật viên dùng console của nó.

Các phiên bản 1.0.31 và 1.0.32 của tiện ích này chứa lỗ hổng khiến những bản cài đặt chưa cấu hình khóa truy cập (access key) vẫn chấp nhận khóa trống. Vì RMM+ hoạt động độc lập với cơ chế tài khoản và xác thực thông thường của ScreenConnect, kẻ tấn công có thể thực thi lệnh mà không cần vượt qua MFA (xác thực đa yếu tố).

Nhóm nghiên cứu xác nhận các vụ tấn công ảnh hưởng đến cả ScreenConnect phiên bản 26.6.6.9747 và 26.7.6.9783, nghĩa là chạy bản mới nhất không đương nhiên an toàn.

ConnectWise phản ứng

ConnectWise thừa nhận các tiện ích bên thứ ba có thể liên quan nhưng chưa xác nhận cách kẻ tấn công có được quyền truy cập ban đầu. Trong một khuyến cáo bảo mật, công ty cho biết đang điều tra việc truy cập trái phép vào một số môi trường đối tác và đã xác định khoảng 400 bản cài đặt có ít nhất một tiện ích thuộc nhóm RMM+.

Công ty đã vô hiệu hóa 5 tiện ích, gồm RMM+, RMM Plus và Labtech Plus, ở mọi nơi có thể thao tác từ xa, đồng thời khuyến nghị khách hàng tự vận hành máy chủ ScreenConnect làm theo.

ConnectWise nhấn mạnh 400 môi trường này được xác định vì có cài tiện ích chứ không phải vì đã bị xâm phạm:

"Hiện tại, chúng tôi chưa tìm thấy bằng chứng nào về việc hạ tầng ConnectWise bị xâm phạm hay có lỗ hổng trong chính ScreenConnect."

Khuyến nghị xử lý

Cả Huntress và ConnectWise đều cảnh báo quản trị viên không điều tra máy nghi nhiễm bằng cách kết nối từ xa qua ScreenConnect, vì làm vậy có thể đặt chính máy của kỹ thuật viên vào vòng nguy hiểm.

Thay vào đó, nên dùng công cụ bảo mật khác để kiểm tra, tìm các client ScreenConnect lạ và xem những lệnh đã được thực thi. Mọi mã độc còn sót lại phải được gỡ bỏ trước khi đưa máy trở lại hoạt động.

Huntress cảnh báo trên Reddit rằng một số máy bị nhiễm lại chỉ vài phút sau khi ra khỏi vùng cách ly do mã độc chưa được xóa sạch. Việc chỉ vô hiệu hóa tiện ích có lỗ hổng cũng không chắc khắc phục được thiệt hại. Như ConnectWise lưu ý:

"Chỉ vô hiệu hóa tiện ích và đặt lại thông tin xác thực có thể không đủ để loại bỏ phần mềm trái phép, cơ chế duy trì dai dẳng hay quyền truy cập đã được thiết lập trên thiết bị đầu cuối."

Và khi kẻ tấn công đã cài được phần mềm truy cập từ xa của riêng chúng, việc đuổi chúng ra ngoài có thể khó hơn nhiều so với việc đóng cánh cửa mà chúng đã bước vào.

Góc nhìn

Sự cố này là lời nhắc rằng bảo mật của một công cụ quản lý từ xa không chỉ nằm ở sản phẩm chính, mà cả ở hệ sinh thái tiện ích xung quanh. Các tiện ích bên thứ ba thường hoạt động ngoài cơ chế xác thực tiêu chuẩn, nên một khóa truy cập cấu hình sai cũng đủ vô hiệu hóa toàn bộ lớp bảo vệ như MFA. Với những đội vận hành hệ thống hoặc MSP tại Việt Nam đang dùng ScreenConnect và các RMM tương tự, việc rà soát lại danh sách extension đang cài đặt và kiểm tra cấu hình xác thực của từng tiện ích là bước nên làm ngay.

Bài học thứ hai liên quan đến quy trình ứng cứu. Khi kẻ tấn công có thể cài công cụ truy cập từ xa riêng, việc chỉ gỡ tiện ích lỗi không đủ để khắc phục, và thói quen "kết nối vào xem thử" có thể khiến chính kỹ thuật viên trở thành mắt xích lây nhiễm tiếp theo. Các đội nên chuẩn bị sẵn kênh điều tra độc lập với công cụ quản lý bị nghi nhiễm, đồng thời xem xét mức độ tin cậy của mọi thành phần không do nhà cung cấp chính phát hành trước khi triển khai trên diện rộng.