SCKit nutzt ScreenConnect aus, um MSPs und Technikersitzungen zu kompromittieren

Microsoft hat eine aktive Kampagne bestätigt, die ursprünglich am 11. November von ConnectWise gemeldet wurde und sich gegen Cloud-Instanzen von ScreenConnect richtet, die Managed Service Providern gehören. Die Angreifer nutzen die legitime Fernwartungssoftware, um mit ihrer eigenen Infrastruktur verbundene Clients zu installieren und den Wurm SCKit auf den von Kunden verwalteten Endgeräten zu verbreiten. Die Angriffskette umfasst einen Batch-Launcher, einen PowerShell-Decoder und gerätespezifisches kryptografisches Material, während die Persistenz durch geplante Aufgaben und Run-Schlüssel in der Registrierung erreicht wird. Eine Komponente namens RelayTrap wurde entwickelt, um die Sitzungen von Technikern anzugreifen, wodurch das Risiko entsteht, dass sich eine einzige Kompromittierung des MSP auf die Umgebungen zahlreicher Kunden ausbreitet. Betroffene Organisationen sollten auf ungewöhnliche ScreenConnect-Zugriffe und -Befehle, nicht autorisierte Remote-Clients, verdächtige Persistenzmechanismen sowie die von Microsoft und ConnectWise veröffentlichten Indikatoren prüfen.

Quelle: Microsoft Security Blog