SCKit sfrutta ScreenConnect per compromettere MSP e sessioni dei tecnici

Microsoft ha confermato una campagna attiva, segnalata inizialmente da ConnectWise l'11 novembre, contro istanze cloud di ScreenConnect appartenenti a managed service provider. Gli attaccanti usano il software legittimo di assistenza remota per installare client collegati alla propria infrastruttura e distribuire il worm SCKit sugli endpoint amministrati dai clienti. La catena comprende un launcher batch, un decoder PowerShell e materiale crittografico specifico del dispositivo, mentre la persistenza viene ottenuta tramite attività pianificate e chiavi Run del registro. Un componente denominato RelayTrap è progettato per colpire le sessioni dei tecnici, creando il rischio che una singola compromissione dell'MSP si propaghi agli ambienti di numerosi clienti. Le organizzazioni interessate devono verificare accessi e comandi ScreenConnect anomali, client remoti non autorizzati, persistenza sospetta e gli indicatori pubblicati da Microsoft e ConnectWise.

Source: Microsoft Security Blog